CVE-2026-112075
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
Unsloth (versions jusqu'à 0.1.501-beta) est une bibliothèque utilisée pour optimiser l'entraînement et l'ajustement (fine-tuning) de grands modèles de langage. La faille se situe dans le module `FastSentenceTransformer`, où le logiciel ne parvient pas à assainir correctement un argument d'entrée. Cela permet à un acteur malveillant d'injecter des données contrôlées externement pour forcer le programme à exécuter des classes ou des chemins de code spécifiques.
Un attaquant peut utiliser cela pour causer des perturbations mineures à la confidentialité, l'intégrité ou la disponibilité du processus local. Comme l'attaque est accessible via le réseau et ne nécessite aucune authentification, elle est relativement facile à déclencher, bien qu'elle nécessite qu'un utilisateur interagisse avec une entrée malveillante. Pour corriger ce problème, mettez à jour vers la version 0.1.902-beta ou une version ultérieure.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A weakness has been identified in unslothai unsloth up to 0.1.501-beta. This affects the function FastSentenceTransformer._is_transformer_module_ref of the file unsloth/models/sentence_transformer.py. This manipulation of the argument Type causes use of externally-controlled input to select classes or code. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 0.1.902-beta is able to mitigate this issue. Patch name: de801746386a53a0cb26216e715a0af863b76ad9. The affected component should be upgraded.