CVE-2026-116608
Publiée le 2026-10-27 · Dernière modification le 2026-10-27
Les versions de VideoLLaMA2 jusqu'à la 1.1 sont affectées par une faille dans le composant de chargement du modèle. Ce logiciel est utilisé pour les grands modèles de langage multimodaux qui traitent la vidéo et le texte. Le problème se situe dans la fonction `load_pretrained_model`, où le système ne parvient pas à valider correctement l'intégrité d'un modèle chargé via un chemin ou un nom spécifié.
Un attaquant peut utiliser cette faille pour compromettre l'intégrité des fichiers du modèle, bien que l'impact global sur le système soit faible. L'exploitation nécessite un accès réseau et une interaction de l'utilisateur, ce qui signifie qu'il faudrait généralement être trompé pour charger un fichier de modèle malveillant. Comme elle nécessite qu'un utilisateur déclenche le processus de chargement, il ne s'agit pas d'une attaque automatique ou auto-propagée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security vulnerability has been detected in DAMO Academy VideoLLaMA2 up to 1.1. Affected by this issue is the function load_pretrained_model of the file videollama2/model/__init__.py of the component Model Loading. The manipulation of the argument _name_or_path leads to improper validation of integrity check value. Remote exploitation of the attack is possible. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.