Tóm tắt nhanh
- CVE-2025-2099 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng transformers, transformers (huggingface).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.61%, cao hơn 49.1% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 4.49.0, 4.50.0 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| transformers PyPI | < 4.49.0< 4.50.0
| 4.49.04.50.0
|
| transformers | ≤ 4.48.3
| Chưa có bản vá |
Mô tả
A Regular Expression Denial of Service (ReDoS) exists in the preprocess_string() function of the transformers.testing_utils module. In versions before 4.50.0, the regex used to process code blocks in docstrings contains nested quantifiers that can trigger catastrophic backtracking when given inputs with many newline characters. An attacker who can supply such input to preprocess_string() (or code paths that call it) can force excessive CPU usage and degrade availability.
Fix: released in 4.50.0, which rewrites the regex to avoid the inefficient pattern. ([GitHub][1])
- Affected:
< 4.50.0
- Patched:
4.50.0
Mô tả của NVD
A vulnerability in the `preprocess_string()` function of the `transformers.testing_utils` module in huggingface/transformers version v4.48.3 allows for a Regular Expression Denial of Service (ReDoS) attack. The regular expression used to process code blocks in docstrings contains nested quantifiers, leading to exponential backtracking when processing input with a large number of newline characters. An attacker can exploit this by providing a specially crafted payload, causing high CPU usage and potential application downtime, effectively resulting in a Denial of Service (DoS) scenario.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí