FICHE CVE

CVE-2026-58659

Publiée le 2026-07-15 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les versions de PyTorch Lightning allant jusqu'à la 2.6.5 sont affectées par une faille qui permet l'exécution de code arbitraire sur votre système. Un attaquant peut y parvenir en vous incitant à charger un fichier de point de contrôle (checkpoint) malveillant, spécialement conçu, via la fonction `load_from_checkpoint`. Comme cela nécessite que vous chargiez manuellement un fichier fourni par un attaquant, l'exploitation dépend d'une interaction de l'utilisateur plutôt que d'un accès réseau direct.

CVSS 4.08.4 ÉLEVÉE

Type de faiblesse

CWE-470

Publiée2026-07-15

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurActive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

PyTorch Lightning through 2.6.5, fixed in commit d710d68, contains a remote code execution vulnerability in the _load_state function that imports and executes attacker-controlled module names from checkpoint _instantiator hyperparameters. Attackers can craft malicious checkpoint files that bypass weights_only=True protections to execute arbitrary code when LightningModule.load_from_checkpoint is called.