CVE-2026-31253
O que é CVE-2026-31253?
A estrutura de treinamento flash-attention por meio do commit e724e2588cbe754beb97cf7c011b5e7e34119e62 (04/13/2025) contém uma vulnerabilidade de desserialização insegura (CWE-502) em seu mecanismo de carregamento de ponto de verificação. A função load_checkpoint() em checkpoint.py e o código de carregamento do ponto de verificação em eval.py usam torch.load() sem ativar o parâmetro restritivo de segurançaweights_only=True. Isso permite a desserialização de objetos Python arbitrários por meio do módulo pickle. Um invasor pode explorar isso fornecendo um arquivo de ponto de verificação criado com códigos maliciosos. Quando uma vítima carrega este ponto de verificação durante o aquecimento do modelo
Perguntas frequentes
CVE-2026-31253 tem uma pontuação CVSS de N/D/10, classificada como Desconhecido. Revise a lista de produtos afetados e aplique os patches do fornecedor.
O CVSS (Common Vulnerability Scoring System) avalia a gravidade das vulnerabilidades de 0,0 a 10,0. CVE-2026-31253 pontua N/D/10 (Desconhecido). Pontuações de 9,0–10,0 são Críticas, 7,0–8,9 Altas, 4,0–6,9 Médias e abaixo de 4,0 Baixas.
A lista de dispositivos confirmados como afetados por CVE-2026-31253 é mostrada na seção "Dispositivos afetados" acima. Compare sua versão de firmware com o aviso de segurança do fornecedor e aplique o último patch.
Aplique a última atualização de firmware ou software do fornecedor. Consulte a seção de Referências acima para avisos oficiais e notas de patch. Se nenhum patch estiver disponível, considere desativar o recurso afetado ou isolar o dispositivo de redes não confiáveis.