Pubblicato il 2026-07-31 · Fonte: NVD NIST
La vulnerabilità CVE-2026-68770 è una security control bypass che consente agli attaccanti di eseguire codice arbitrario sfruttando una falla logica nella funzione import_module_class. Ciò avviene quando il percorso del modello esiste sul file system locale, indipendentemente dall'impostazione trust_remote_code=False. La vulnerabilità è stata assegnata un punteggio CVSS di 9,8, classificandola come critica. La CWE-94 è la categoria di vulnerabilità associata a questo problema.
Un attaccante che può controllare o influenzare il contenuto di una directory del modello su disco può posizionare file Python maligni, come modeling_*.py, che verranno eseguiti al momento dell'importazione quando un'applicazione carica il modello con SentenceTransformer. Ciò consente l'esecuzione di codice arbitrario all'interno del processo di caricamento, bypassando i contratti di sicurezza documentati.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, è consigliabile aggiornare la versione di sentence-transformers alla prima versione patchata disponibile. Nel frattempo, è possibile adottare misure di workaround come il controllo rigoroso dei percorsi dei modelli e la limitazione dell'accesso alle directory dei modelli. Inoltre, è fondamentale seguire le migliori pratiche di sicurezza per prevenire l'esecuzione di codice arbitrario, come l'uso di sandbox e la limitazione dei privilegi.
La vulnerabilità CVE-2026-68770 è una security control bypass che consente l'esecuzione di codice arbitrario in sentence-transformers
La vulnerabilità sfrutta una falla logica nella funzione import_module_class, permettendo l'esecuzione di codice arbitrario quando il percorso del modello esiste sul file system locale
Per proteggersi, è consigliabile aggiornare la versione di sentence-transformers e adottare misure di workaround come il controllo dei percorsi dei modelli e la limitazione dell'accesso alle directory dei modelli
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.