Hoch

Arbitrary Code Execution via Crafted Keras Config for Model Loading

Veröffentlicht: 11.03.2025
Aktualisiert: 11.10.2026 15:17

Impact

The Keras Model.load_model function permits arbitrary code execution, even with safe_mode=True, through a manually constructed, malicious .keras archive. By altering the config.json file within the archive, an attacker can specify arbitrary Python modules and functions, along with their arguments, to be loaded and executed during model loading.

Patches

This problem is fixed starting with version 3.9.

Workarounds

Only load models from trusted sources and model archives created with Keras.

References

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	keras	>= 3.0.0, < 3.9.0	3.9.0

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Schwäche (CWE): CWE-94
Plattform: Python (PyPI)
Paket: keras
Veröffentlicht: 11.03.2025
Aktualisiert: 11.10.2026 15:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2025-122 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-48g7-3x6r-xfhp - CC BY 4.0

Schwachstellenhistorie: keras

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (20) im Archiv

Einträge insgesamt: 20
Erste → letzte: 04.2024 08.2026
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 2
Hoch 11
Mittel 6
Niedrig 1

Veröffentlichungen pro Jahr

2024: 1
2025: 8
2026: 11

19.07.2026

Keras: TorchModuleWrapper can deserialize unsafe PyTorch pickle data

Hoch · 7.8 CVE-2026-12484 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
03.07.2026

Keras: Lambda deserialization can bypass safe mode and execute code

Hoch · 8.8 CVE-2026-12481 < 3.12.3, >= 3.13.0, < 3.15.0 3.12.3, 3.15.0
11.06.2026

Keras versions prior to 3.14.0 are vulnerable to a path traversal issue in the archive extraction utilities located in `keras/src/utils/file_utils.py`. The functions `filter_safe_tarinfos()` and `filt

Hoch · 8.1 CVE-2026-11816 < 3.14.0 3.14.0
13.04.2026

Keras has an untrusted deserialization vulnerability

Hoch · 8.8 CVE-2026-1462 < 3.13.2 3.13.2
18.02.2026

Keras has a Local File Disclosure via HDF5 External Storage During Keras Weight Loading

Hoch · 7.1 CVE-2026-1669 >= 3.13.0, < 3.13.2, >= 3.0.0, < 3.12.1 3.13.2, 3.12.1
15.01.2026

Allocation of Resources Without Limits or Throttling in the HDF5 weight loading component in Google Keras 3.0.0 through 3.13.0 on all platforms allows a remote attacker to cause a Denial of Service (D

Hoch · 7.5 CVE-2026-0897 >= 3.0.0, < 3.13.1 3.13.1
02.12.2025

Keras Directory Traversal Vulnerability

Hoch · 9.8 CVE-2025-12060 < 3.12.0 3.12.0
17.10.2025

Keras framework vulnerable to deserialization of untrusted data

Kritisch · 9.8 CVE-2025-49655 >= 3.11.0, < 3.11.3 3.11.3
19.09.2025

Keras is vulnerable to Deserialization of Untrusted Data

Hoch · 7.3 CVE-2025-9906 < 3.11.0 3.11.0
19.09.2025

The Keras `Model.load_model` method **silently** ignores `safe_mode=True` and allows arbitrary code execution when a `.h5`/`.hdf5` file is loaded.

Hoch CVE-2025-9905 >= 3.0.0, < 3.11.3 3.11.3
11.08.2025

Keras vulnerable to CVE-2025-1550 bypass via reuse of internal functionality

Hoch · 8.8 CVE-2025-8747 >= 3.0.0, < 3.11.0 3.11.0
11.03.2025

Arbitrary Code Execution via Crafted Keras Config for Model Loading dieser Eintrag

Hoch CVE-2025-1550 >= 3.0.0, < 3.9.0 3.9.0
16.04.2024

Keras code injection vulnerability

Kritisch · 9.8 CVE-2024-3660 < 2.13.1rc0 2.13.1rc0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden