Transformers is vulnerable to ReDoS attack through its DonutProcessor class
A Regular Expression Denial of Service (ReDoS) vulnerability was discovered in the Hugging Face Transformers library, specifically within the DonutProcessor class's token2json() method. This vulnerability affects versions 4.51.3 and earlier, and is fixed in version 4.52.1. The issue arises from the regex pattern <s_(.*?)> which can be exploited to cause excessive CPU consumption through crafted input strings due to catastrophic backtracking. This vulnerability can lead to service disruption, resource exhaustion, and potential API service vulnerabilities, impacting document processing tasks using the Donut model.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | transformers | < 4.52.1 | 4.52.1 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2025-3933
- https://github.com/huggingface/transformers/pull/37788
- https://github.com/huggingface/transformers/commit/ebbe9b12dd75b69f92100d684c47f923ee262a93
- https://github.com/huggingface/transformers
- https://huntr.com/bounties/25282953-5827-4384-bb6f-5790d275721b
- https://pypi.org/project/transformers
- https://github.com/advisories/GHSA-37mw-44qp-f5jm
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- Debilidad (CWE)
CWE-1333- Plataforma
- Python (PyPI)
- Paquete
transformers- Publicada
- 11.07.2025
- Actualizado
- 11.10.2026 15:17
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-1977 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-37mw-44qp-f5jm - CC BY 4.0
Historial de vulnerabilidades: transformers
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 32
- Primera → última
- 05.2023 09.2026
- Sin corrección
- 9
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 18
- Media 12
- Baja 2
Divulgaciones por año
- 2023: 3
- 2024: 4
- 2025: 20
- 2026: 5
-
Transformers is vulnerable to ReDoS attack through its DonutProcessor class esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.