CVE-2026-120335
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Deepset-ai farm allant jusqu'à la 0.8.0 sont affectées, plus précisément au sein du composant Model Package Loader utilisé pour la gestion des modèles de langage. La faille se situe dans la fonction `WordEmbedding_LM.load`, où l'argument `embeddings_filename` n'est pas correctement validé. Cela permet une attaque par traversée de chemin (path traversal), ce qui signifie qu'un utilisateur peut induire le logiciel en erreur pour accéder à des fichiers situés en dehors du répertoire prévu.
Un attaquant disposant d'un accès local et de privilèges restreints peut exploiter cette faille pour lire ou modifier certains fichiers limités sur le système. L'impact sur la confidentialité, l'intégrité et la disponibilité est faible, et l'attaque nécessite à la fois une interaction de l'utilisateur et un accès préalable à un compte local. Ce logiciel n'étant plus supporté par son mainteneur, aucun correctif officiel n'est disponible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability has been found in deepset-ai farm up to 0.8.0. Affected is the function WordEmbedding_LM.load of the file farm/modeling/language_model.py of the component Model Package Loader. The manipulation of the argument embeddings_filename leads to path traversal. An attack has to be approached locally. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.