CVE-2026-120334：deepset FARM 路径穿越漏洞披露

漏洞披露方发布 CVE-2026-120334，指 deepset-ai FARM 机器学习框架的 Tokenizer Loader 存在路径穿越漏洞：攻击者操纵 EmbeddingTokenizer.from_pretrained 的 vocab_filename 参数，可从远程读取目标目录外的文件。 受影响版本为 FARM v0.8.0 及 commit 5919538（0.8.1-snapshot）。触发条件是受害者对本地模型包目录调用 Tokenizer.load()，且模型目录名含 word2vec、glove 或 fasttext，使 FARM 自动选择 EmbeddingTokenizer。披露方称该漏洞仅影响维护者已不再支持的产品。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。