Alta

ONNX Untrusted Model Repository Warnings Suppressed by silent=True in onnx.hub.load() — Silent Supply-Chain Attack

Publicada: 16.03.2026
Actualizado: 11.10.2026 15:17

What's the issue

Passing silent=True to onnx.hub.load() kills all trust warnings and user prompts. This means a model can be downloaded from any unverified GitHub repo with zero user awareness.

python

if not _verify_repo_ref(repo) and not silent:
    # completely skipped when silent=True
    print("The model repo... is not trusted")
    if input().lower() != "y":
        return None

On top of that, the SHA256 integrity check is useless here — it validates against a manifest that lives in the same repo the attacker controls, so the hash will always match.

Impact

Any pipeline using hub.load() with silent=True and an external repo string is silently loading whatever the repo owner ships. If that model executes arbitrary code on load, the attacker has access to the machine.

Resolved by removing the feature

References

Write-up

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	onnx	< 1.21.0rc1	1.21.0rc1

Referencias

Puntuación CVSS 8.6/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Debilidad (CWE): CWE-345, CWE-494, CWE-693
Plataforma: Python (PyPI)
Paquete: onnx
Publicada: 16.03.2026
Actualizado: 11.10.2026 15:17

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-103 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-hqmj-h5c6-369m - CC BY 4.0

Historial de vulnerabilidades: onnx

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (13) en el archivo

Entradas en total: 13
Primera → última: 01.2023 07.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 7
Media 4
Baja 1

Divulgaciones por año

2023: 1
2024: 3
2025: 1
2026: 8

01.04.2026

ONNX: TOCTOU arbitrary file read/write in save_external_dat

Alta · 7.1 CVE-2026-49114 < 1.21.0 1.21.0
01.04.2026

ONNX: Malicious ONNX models can crash servers by exploiting unprotected object settings.

Alta · 8.6 CVE-2026-34445 < 1.21.0 1.21.0
31.03.2026

onnx Vulnerable to Path Traversal via Symlink

Alta CVE-2026-27489 < 1.21.0 1.21.0
16.03.2026

ONNX Untrusted Model Repository Warnings Suppressed by silent=True in onnx.hub.load() — Silent Supply-Chain Attack esta entrada

Alta · 8.6 CVE-2026-28500 < 1.21.0rc1 1.21.0rc1
20.03.2025

A vulnerability in the `download_model` function of the onnx/onnx framework, before and including version 1.16.1, allows for arbitrary file overwrite due to inadequate prevention of path traversal att

Crítica · 9.1 CVE-2024-7776 < 1.16.2 1.16.2
06.06.2024

onnx allows Arbitrary File Overwrite in download_model_with_test_data

Alta · 8.8 CVE-2024-5187 < 1.16.2 1.16.2
23.02.2024

Onnx Directory Traversal vulnerability

Alta · 7.5 CVE-2024-27318 < 1.16.0 1.16.0
26.01.2023

Versions of the package onnx before 1.13.0 are vulnerable to Directory Traversal as the external_data field of the tensor proto can have a path to the file which is outside the model current directory

Alta · 7.5 CVE-2022-25882 < 1.13.0 1.13.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación