Transformers vulnerable to ReDoS attack through its get_imports() function
A Regular Expression Denial of Service (ReDoS) vulnerability was discovered in the Hugging Face Transformers library, specifically in the get_imports() function within dynamic_module_utils.py. This vulnerability affects versions 4.49.0 and is fixed in version 4.51.0. The issue arises from a regular expression pattern \s*try\s*:.*?except.*?: used to filter out try/except blocks from Python code, which can be exploited to cause excessive CPU consumption through crafted input strings due to catastrophic backtracking. This vulnerability can lead to remote code loading disruption, resource exhaustion in model serving, supply chain attack vectors, and development pipeline disruption.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | transformers | < 4.51.0 | 4.51.0 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2025-3264
- https://github.com/huggingface/transformers/commit/0720e206c6ba28887e4d60ef60a6a089f6c1cc76
- https://github.com/huggingface/transformers/commit/126abe3461762e5fc180e7e614391d1b4ab051ca
- https://github.com/huggingface/transformers
- https://huntr.com/bounties/3c6f7822-9992-476d-8cf0-b0b1623427df
- https://pypi.org/project/transformers
- https://github.com/advisories/GHSA-jjph-296x-mrcr
- Vector CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- Debilidad (CWE)
CWE-1333- Plataforma
- Python (PyPI)
- Paquete
transformers- Publicada
- 07.07.2025
- Actualizado
- 11.10.2026 13:19
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-1985 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-jjph-296x-mrcr - CC BY 4.0
Historial de vulnerabilidades: transformers
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 32
- Primera → última
- 05.2023 09.2026
- Sin corrección
- 9
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 18
- Media 12
- Baja 2
Divulgaciones por año
- 2023: 3
- 2024: 4
- 2025: 20
- 2026: 5
-
Transformers vulnerable to ReDoS attack through its get_imports() function esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.