Vulnerabilidades

Autorización impropia en los resolutores de consulta generados por @aws-amplify/graphql-index-transformer en AWS Amplify API Category anteriores a 3.1.2 podría permitir que un usuario remoto autenticado lea registros propiedad de otros usuarios de la misma aplicación mediante consultas manipuladas. Este problema ha…

System Informer anterior a la 4.0.26241.138 contiene una vulnerabilidad de autorización incorrecta en el asistente phsvc que permite a atacantes locales acceder a API privilegiadas conectándose desde cualquier proceso firmado con Authenticode. Los atacantes pueden cargar código en un host firmado por Microsoft como…

Axolotl anterior a la 0.19.0 contiene una vulnerabilidad de ejecución remota de código en la ruta del parche multipack, donde trust_remote_code tiene None por defecto en lugar de False, lo que provoca que se eluda la protección de seguridad. Los atacantes pueden ejecutar código Python arbitrario creando un repositorio…

Una vulnerabilidad en Hugging Face Transformers (versiones 4.57.0 a 5.16.1) permite que se escriban archivos Python remotos en el disco local sin el consentimiento del usuario al usar GenerativePreTrainedModel.load_custom_generate(). La función obtiene y almacena en caché un archivo de módulo remoto antes de realizar…

Hugging Face Transformers no valida los nombres de archivo de los fragmentos (shards) en los archivos de índice de checkpoints, lo que permite a los atacantes leer archivos arbitrarios fuera del directorio del modelo. Los atacantes pueden suministrar archivos de índice maliciosos con referencias al directorio padre o…

Una vulnerabilidad en huggingface/transformers versiones <=5.8.0.dev0 permite a un atacante realizar escrituras arbitrarias de archivos mediante recorrido de directorios (path traversal). El problema reside en los métodos `save_pretrained()` de `PreTrainedTokenizerBase` y `ProcessorMixin`, donde las claves del…

sentence-transformers contiene una vulnerabilidad de omisión de controles de seguridad que permite a los atacantes lograr la ejecución de código arbitrario aprovechando un fallo lógico en el auxiliar import_module_class de sentence_transformers/util/misc.py, donde la condición de protección incluye una cláusula 'or…

NVIDIA Tranformers4Rec contiene una vulnerabilidad por la que un atacante podría provocar una deserialización indebida de datos no confiables. La explotación correcta de esta vulnerabilidad podría provocar la ejecución de código, la manipulación de datos y la divulgación de información.

ktransformers hasta la 0.6.3, corregido en el commit def0f93, contiene una vulnerabilidad de deserialización pickle no autenticada que permite a atacantes remotos ejecutar comandos arbitrarios enviando cargas útiles pickle manipuladas al socket ZMQ ROUTER de SchedulerServer, vinculado a todas las interfaces. Los…

Eliminación arbitraria de archivos con rol de performer en Paid Videochat Turnkey Site versiones <= 7.4.8.

Una vulnerabilidad en la ruta de carga del modelo LightGlue de huggingface/transformers versión 5.2.0 permite que un repositorio de modelos controlado por un atacante ejecute código arbitrario durante la inicialización del modelo. El problema surge porque el parámetro 'trust_remote_code', destinado a prevenir la…

OpenMed antes de 1.5.2 contiene una vulnerabilidad de ejecución remota de código en la ruta de carga del modelo de filtro de privacidad PII. El despachador del filtro de privacidad utilizaba una coincidencia amplia de subcadenas en el parámetro model_name suministrado por el usuario, permitiendo que un valor como…

IBM Cognos Analytics 11.2.0, 11.2.4, 12.0, y 12.1.0 y IBM Cognos Transformer 11.2.4, 12.0, y 12.1.0 son vulnerables a cross-site scripting (XSS). Esta vulnerabilidad permite a un atacante remoto inyectar código JavaScript arbitrario en la interfaz de usuario web, lo que puede alterar la funcionalidad prevista y podría…

NVIDIA Transformers4Rec para Linux contiene una vulnerabilidad donde un atacante podría causar una deserialización incorrecta de datos no confiables. Un exploit exitoso de esta vulnerabilidad podría conducir a la ejecución de código, manipulación de datos y revelación de información.

IBM Cognos Analytics 11.2.0, 12.0, y 12.1.0 e IBM Cognos Transformer 12.0, 11.2.4, y 12.1.0 son vulnerables a cross-site scripting (XSS) almacenado en la Administración de Cognos. Esta vulnerabilidad permite a un usuario privilegiado incrustar código JavaScript arbitrario en la interfaz de usuario web, alterando así…

Existe una vulnerabilidad crítica de ejecución remota de código en todas las versiones de la biblioteca HuggingFace transformers anteriores a la versión 5.3.0. La vulnerabilidad permite a un atacante crear un archivo 'config.json' malicioso que contiene el campo '_attn_implementation_internal' configurado con un ID de…

Se ha detectado una vulnerabilidad en sgl-project SGLang hasta la versión 0.5.9. Se ve afectada la función get_tokenizer del archivo python/sglang/srt/utils/hf_transformers_utils.py del componente HuggingFace Transformer Handler. La manipulación del argumento trust_remote_code con el valor False como parte de Boolean…

KTransformers hasta la versión 0.5.3 contiene una vulnerabilidad de deserialización insegura en el modo de backend balance_serve, donde el servidor RPC del planificador vincula un socket ZMQ ROUTER a todas las interfaces, sin autenticación, y deserializa los mensajes entrantes mediante pickle.loads() sin validación.…

Una vulnerabilidad en la biblioteca HuggingFace Transformers, concretamente en la clase `Trainer`, permite la ejecución de código arbitrario. El método `_load_rng_state()` en `src/transformers/trainer.py`, en la línea 3059, llama a `torch.load()` sin el parámetro `weights_only=True`. Este problema afecta a todas las…

phpTransformer 2016.9 contiene una vulnerabilidad de recorrido de directorios que permite a atacantes no autenticados acceder a archivos arbitrarios mediante la manipulación del parámetro «path». Los atacantes pueden enviar solicitudes al punto final del servidor jQueryFileUploadmaster con secuencias de recorrido del…

phpTransformer 2016.9 contiene una vulnerabilidad de inyección SQL que permite a atacantes remotos ejecutar consultas SQL arbitrarias mediante la inyección de código malicioso a través del parámetro idnews. Los atacantes pueden enviar solicitudes GET manipuladas a GeneratePDF.php con cargas útiles SQL en el parámetro…

NVIDIA Merlin Transformers4Rec para todas las plataformas contiene una vulnerabilidad donde un atacante podría causar inyección de código. Un exploit exitoso de esta vulnerabilidad podría conducir a la ejecución de código, escalada de privilegios, revelación de información y manipulación de datos.

Vulnerabilidad de Autorización faltante en merkulove Conformer para Elementor permite la explotación de Niveles de Seguridad de Control de Acceso configurados incorrectamente. Este problema afecta a Conformer para Elementor: desde n/d hasta 1.0.7.

Vulnerabilidad de ejecución remota de código por deserialización de datos no fiables en Hugging Face Transformers GLM4. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de Hugging Face Transformers. Para explotar esta vulnerabilidad se requiere la interacción del…

Vulnerabilidad de ejecución remota de código por deserialización de datos no fiables en la conversión de puntos de control (checkpoints) de X-CLIP en Hugging Face Transformers. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de Hugging Face Transformers. Se…