Zaloguj się
Deutsch English Español Polski
Średnia

Keras: HDF5 links can disclose local file contents

  • Ujawniono: 02.08.2026
  • Aktualizacja: 11.10.2026 14:19

A vulnerability in keras-team/keras versions <= 3.14.0 allows arbitrary local HDF5 file content disclosure due to improper handling of HDF5 ExternalLinks. The KerasFileEditor and keras.saving.load_weights functions bypass the safe_get_h5_group and safe_get_h5_dataset helpers, which are designed to reject ExternalLinks and SoftLinks. This results in automatic dereferencing of links to external HDF5 files, enabling attackers to disclose sensitive data from the victim's local filesystem. Specifically, KerasFileEditor extracts attributes and datasets from linked files into its internal structures, while keras.saving.load_weights loads weights from linked files into the user's model. This issue can be exploited by providing a malicious .h5, .weights.h5, or .keras file containing ExternalLinks.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) keras < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-22
Platforma
Python (PyPI)
Paczka
keras
Ujawniono
02.08.2026
Aktualizacja
11.10.2026 14:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-3633 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m8wh-29wm-52mv - CC BY 4.0

Historia podatności: keras

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (20) w archiwum
Wszystkich wpisów
20
Pierwsza → ostatnia
04.2024 08.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 11
  • Średnia 6
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Keras: HDF5 links can disclose local file contents ten wpis
    Średnia · 6.5 CVE-2026-9335 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
  2. Keras: TorchModuleWrapper can deserialize unsafe PyTorch pickle data
    Wysoka · 7.8 CVE-2026-12484 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
  3. Keras: Lambda deserialization can bypass safe mode and execute code
    Wysoka · 8.8 CVE-2026-12481 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
  4. Keras versions prior to 3.14.0 are vulnerable to a path traversal issue in the archive extraction utilities located in `keras/src/utils/file_utils.py`. The functions `filter_safe_tarinfos()` and `filt
    Wysoka · 8.1 CVE-2026-11816 < 3.14.0 3.14.0
  5. Keras has an untrusted deserialization vulnerability
    Wysoka · 8.8 CVE-2026-1462 < 3.13.2 3.13.2
  6. Keras has a Local File Disclosure via HDF5 External Storage During Keras Weight Loading
    Wysoka · 7.1 CVE-2026-1669 >= 3.13.0, < 3.13.2, >= 3.0.0, < 3.12.1 3.13.2, 3.12.1
  7. Allocation of Resources Without Limits or Throttling in the HDF5 weight loading component in Google Keras 3.0.0 through 3.13.0 on all platforms allows a remote attacker to cause a Denial of Service (D
    Wysoka · 7.5 CVE-2026-0897 >= 3.0.0, < 3.13.1 3.13.1
  8. Keras Directory Traversal Vulnerability
    Wysoka · 9.8 CVE-2025-12060 < 3.12.0 3.12.0
  9. Keras framework vulnerable to deserialization of untrusted data
    Krytyczna · 9.8 CVE-2025-49655 >= 3.11.0, < 3.11.3 3.11.3
  10. Keras is vulnerable to Deserialization of Untrusted Data
    Wysoka · 7.3 CVE-2025-9906 < 3.11.0 3.11.0
  11. The Keras `Model.load_model` method **silently** ignores `safe_mode=True` and allows arbitrary code execution when a `.h5`/`.hdf5` file is loaded.
    Wysoka CVE-2025-9905 >= 3.0.0, < 3.11.3 3.11.3
  12. Keras vulnerable to CVE-2025-1550 bypass via reuse of internal functionality
    Wysoka · 8.8 CVE-2025-8747 >= 3.0.0, < 3.11.0 3.11.0
  13. Arbitrary Code Execution via Crafted Keras Config for Model Loading
    Wysoka CVE-2025-1550 >= 3.0.0, < 3.9.0 3.9.0
  14. Keras code injection vulnerability
    Krytyczna · 9.8 CVE-2024-3660 < 2.13.1rc0 2.13.1rc0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.