Zaloguj się
Deutsch English Español Polski
Średnia

Transformers Regular Expression Denial of Service (ReDoS) vulnerability

  • Ujawniono: 20.03.2025
  • Aktualizacja: 11.10.2026 14:19

A Regular Expression Denial of Service (ReDoS) vulnerability was identified in the huggingface/transformers library, specifically in the file tokenization_nougat_fast.py. The vulnerability occurs in the post_process_single() function, where a regular expression processes specially crafted input. The issue stems from the regex exhibiting exponential time complexity under certain conditions, leading to excessive backtracking. This can result in significantly high CPU usage and potential application downtime, effectively creating a Denial of Service (DoS) scenario. The affected version is v4.46.3.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) transformers < 4.48.0 4.48.0

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Słabość (CWE)
CWE-1333
Platforma
Python (PyPI)
Paczka
transformers
Ujawniono
20.03.2025
Aktualizacja
11.10.2026 14:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1982 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-6rvg-6v2m-4j46 - CC BY 4.0

Historia podatności: transformers

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (32) w archiwum
Wszystkich wpisów
32
Pierwsza → ostatnia
05.2023 09.2026
Bez poprawki
9
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 18
  • Średnia 12
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Hugging Face Transformers downloads custom generation code before trust consent
    Wysoka · 7.8 CVE-2026-80047 >= 4.49.0, <= 5.8.1 brak poprawki
  2. Transformers save_pretrained path traversal allows arbitrary file writes through chat template names
    Wysoka · 7.1 CVE-2026-9856 < 5.10.0 5.10.0
  3. huggingface/transformers: Arbitrary Code Execution During Model Initialization in the LightGlue Model Loading Path
    Wysoka · 8.0 CVE-2026-5241 < 5.5.0 5.5.0
  4. HuggingFace transformers vulnerable to remote code execution
    Wysoka · 7.8 CVE-2026-4372 < 5.3.0 5.3.0
  5. Hugging Face Transformers GLM4 Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of
    Wysoka · 7.8 CVE-2025-14930 <= 4.57.1 brak poprawki
  6. Hugging Face Transformers HuBERT convert_config Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Hu
    Wysoka · 7.8 CVE-2025-14928 <= 4.57.0 brak poprawki
  7. Hugging Face Transformers X-CLIP Checkpoint Conversion Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on af
    Wysoka · 7.8 CVE-2025-14929 <= 5.0.0-rc0 brak poprawki
  8. Hugging Face Transformers SEW convert_config Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Huggi
    Wysoka · 7.8 CVE-2025-14926 <= 4.57.0 brak poprawki
  9. Hugging Face Transformers SEW-D convert_config Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Hug
    Wysoka · 7.8 CVE-2025-14927 <= 4.57.0 brak poprawki
  10. Hugging Face Transformers Perceiver Model Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected instal
    Wysoka · 7.8 CVE-2025-14920 <= 4.54.1 brak poprawki
  11. Hugging Face Transformers Transformer-XL Model Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected i
    Wysoka · 7.8 CVE-2025-14921 <= 4.54.1 brak poprawki
  12. Hugging Face Transformers megatron_gpt2 Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installa
    Wysoka · 7.8 CVE-2025-14924 <= 4.55.0 brak poprawki
  13. A vulnerability in the `preprocess_string()` function of the `transformers.testing_utils` module in huggingface/transformers version v4.48.3 allows for a Regular Expression Denial of Service (ReDoS) a
    Wysoka · 7.5 CVE-2025-2099 < 4.49.0 4.49.0
  14. Transformers Regular Expression Denial of Service (ReDoS) vulnerability ten wpis
    Średnia · 5.3 CVE-2024-12720 < 4.48.0 4.48.0
  15. Deserialization of Untrusted Data in Hugging Face Transformers
    Wysoka · 8.8 CVE-2024-11394 < 4.48.0 4.48.0
  16. Deserialization of Untrusted Data in Hugging Face Transformers
    Wysoka · 8.8 CVE-2024-11393 < 4.48.0 4.48.0
  17. Deserialization of Untrusted Data in Hugging Face Transformers
    Wysoka · 7.5 CVE-2024-11392 < 4.48.0 4.48.0
  18. Deserialization of Untrusted Data in GitHub repository huggingface/transformers prior to 4.36.
    Wysoka · 7.8 CVE-2023-7018 < 4.36.0 4.36.0
  19. Deserialization of Untrusted Data in GitHub repository huggingface/transformers prior to 4.36.
    Wysoka · 8.8 CVE-2023-6730 < 4.36.0 4.36.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.