Anmelden
Deutsch English Español Polski
Mittel

Keras: HDF5 links can disclose local file contents

  • Veröffentlicht: 02.08.2026
  • Aktualisiert: 11.10.2026 14:19

A vulnerability in keras-team/keras versions <= 3.14.0 allows arbitrary local HDF5 file content disclosure due to improper handling of HDF5 ExternalLinks. The KerasFileEditor and keras.saving.load_weights functions bypass the safe_get_h5_group and safe_get_h5_dataset helpers, which are designed to reject ExternalLinks and SoftLinks. This results in automatic dereferencing of links to external HDF5 files, enabling attackers to disclose sensitive data from the victim's local filesystem. Specifically, KerasFileEditor extracts attributes and datasets from linked files into its internal structures, while keras.saving.load_weights loads weights from linked files into the user's model. This issue can be exploited by providing a malicious .h5, .weights.h5, or .keras file containing ExternalLinks.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) keras < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0

Verweise

CVSS-Wert 6.5/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Schwäche (CWE)
CWE-22
Plattform
Python (PyPI)
Paket
keras
Veröffentlicht
02.08.2026
Aktualisiert
11.10.2026 14:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-3633 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m8wh-29wm-52mv - CC BY 4.0

Schwachstellenhistorie: keras

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (20) im Archiv
Einträge insgesamt
20
Erste → letzte
04.2024 08.2026
Ohne Fix
1
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 2
  • Hoch 11
  • Mittel 6
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Keras: HDF5 links can disclose local file contents dieser Eintrag
    Mittel · 6.5 CVE-2026-9335 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
  2. Keras: TorchModuleWrapper can deserialize unsafe PyTorch pickle data
    Hoch · 7.8 CVE-2026-12484 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
  3. Keras: Lambda deserialization can bypass safe mode and execute code
    Hoch · 8.8 CVE-2026-12481 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
  4. Keras versions prior to 3.14.0 are vulnerable to a path traversal issue in the archive extraction utilities located in `keras/src/utils/file_utils.py`. The functions `filter_safe_tarinfos()` and `filt
    Hoch · 8.1 CVE-2026-11816 < 3.14.0 3.14.0
  5. Keras has an untrusted deserialization vulnerability
    Hoch · 8.8 CVE-2026-1462 < 3.13.2 3.13.2
  6. Keras has a Local File Disclosure via HDF5 External Storage During Keras Weight Loading
    Hoch · 7.1 CVE-2026-1669 >= 3.13.0, < 3.13.2, >= 3.0.0, < 3.12.1 3.13.2, 3.12.1
  7. Allocation of Resources Without Limits or Throttling in the HDF5 weight loading component in Google Keras 3.0.0 through 3.13.0 on all platforms allows a remote attacker to cause a Denial of Service (D
    Hoch · 7.5 CVE-2026-0897 >= 3.0.0, < 3.13.1 3.13.1
  8. Keras Directory Traversal Vulnerability
    Hoch · 9.8 CVE-2025-12060 < 3.12.0 3.12.0
  9. Keras framework vulnerable to deserialization of untrusted data
    Kritisch · 9.8 CVE-2025-49655 >= 3.11.0, < 3.11.3 3.11.3
  10. Keras is vulnerable to Deserialization of Untrusted Data
    Hoch · 7.3 CVE-2025-9906 < 3.11.0 3.11.0
  11. The Keras `Model.load_model` method **silently** ignores `safe_mode=True` and allows arbitrary code execution when a `.h5`/`.hdf5` file is loaded.
    Hoch CVE-2025-9905 >= 3.0.0, < 3.11.3 3.11.3
  12. Keras vulnerable to CVE-2025-1550 bypass via reuse of internal functionality
    Hoch · 8.8 CVE-2025-8747 >= 3.0.0, < 3.11.0 3.11.0
  13. Arbitrary Code Execution via Crafted Keras Config for Model Loading
    Hoch CVE-2025-1550 >= 3.0.0, < 3.9.0 3.9.0
  14. Keras code injection vulnerability
    Kritisch · 9.8 CVE-2024-3660 < 2.13.1rc0 2.13.1rc0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.