Zaloguj się
Deutsch English Español Polski
Średnia

Transformers Regular Expression Denial of Service (ReDoS) vulnerability

  • Ujawniono: 29.04.2025
  • Aktualizacja: 11.10.2026 14:19

A Regular Expression Denial of Service (ReDoS) vulnerability was identified in the huggingface/transformers library, specifically in the file tokenization_gpt_neox_japanese.py of the GPT-NeoX-Japanese model. The vulnerability occurs in the SubWordJapaneseTokenizer class, where regular expressions process specially crafted inputs. The issue stems from a regex exhibiting exponential complexity under certain conditions, leading to excessive backtracking. This can result in high CPU usage and potential application downtime, effectively creating a Denial of Service (DoS) scenario. The affected version is v4.48.1 (latest).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) transformers < 4.50.0 4.50.0

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L
Słabość (CWE)
CWE-1333
Platforma
Python (PyPI)
Paczka
transformers
Ujawniono
29.04.2025
Aktualizacja
11.10.2026 14:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1984 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-fpwr-67px-3qhx - CC BY 4.0

Historia podatności: transformers

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (32) w archiwum
Wszystkich wpisów
32
Pierwsza → ostatnia
05.2023 09.2026
Bez poprawki
9
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 18
  • Średnia 12
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Hugging Face Transformers downloads custom generation code before trust consent
    Wysoka · 7.8 CVE-2026-80047 >= 4.49.0, <= 5.8.1 brak poprawki
  2. Transformers save_pretrained path traversal allows arbitrary file writes through chat template names
    Wysoka · 7.1 CVE-2026-9856 < 5.10.0 5.10.0
  3. huggingface/transformers: Arbitrary Code Execution During Model Initialization in the LightGlue Model Loading Path
    Wysoka · 8.0 CVE-2026-5241 < 5.5.0 5.5.0
  4. HuggingFace transformers vulnerable to remote code execution
    Wysoka · 7.8 CVE-2026-4372 < 5.3.0 5.3.0
  5. Hugging Face Transformers GLM4 Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of
    Wysoka · 7.8 CVE-2025-14930 <= 4.57.1 brak poprawki
  6. Hugging Face Transformers HuBERT convert_config Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Hu
    Wysoka · 7.8 CVE-2025-14928 <= 4.57.0 brak poprawki
  7. Hugging Face Transformers X-CLIP Checkpoint Conversion Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on af
    Wysoka · 7.8 CVE-2025-14929 <= 5.0.0-rc0 brak poprawki
  8. Hugging Face Transformers SEW convert_config Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Huggi
    Wysoka · 7.8 CVE-2025-14926 <= 4.57.0 brak poprawki
  9. Hugging Face Transformers SEW-D convert_config Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Hug
    Wysoka · 7.8 CVE-2025-14927 <= 4.57.0 brak poprawki
  10. Hugging Face Transformers Perceiver Model Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected instal
    Wysoka · 7.8 CVE-2025-14920 <= 4.54.1 brak poprawki
  11. Hugging Face Transformers Transformer-XL Model Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected i
    Wysoka · 7.8 CVE-2025-14921 <= 4.54.1 brak poprawki
  12. Hugging Face Transformers megatron_gpt2 Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installa
    Wysoka · 7.8 CVE-2025-14924 <= 4.55.0 brak poprawki
  13. A vulnerability in the `preprocess_string()` function of the `transformers.testing_utils` module in huggingface/transformers version v4.48.3 allows for a Regular Expression Denial of Service (ReDoS) a
    Wysoka · 7.5 CVE-2025-2099 < 4.49.0 4.49.0
  14. Transformers Regular Expression Denial of Service (ReDoS) vulnerability ten wpis
    Średnia · 4.3 CVE-2025-1194 < 4.50.0 4.50.0
  15. Deserialization of Untrusted Data in Hugging Face Transformers
    Wysoka · 8.8 CVE-2024-11394 < 4.48.0 4.48.0
  16. Deserialization of Untrusted Data in Hugging Face Transformers
    Wysoka · 8.8 CVE-2024-11393 < 4.48.0 4.48.0
  17. Deserialization of Untrusted Data in Hugging Face Transformers
    Wysoka · 7.5 CVE-2024-11392 < 4.48.0 4.48.0
  18. Deserialization of Untrusted Data in GitHub repository huggingface/transformers prior to 4.36.
    Wysoka · 7.8 CVE-2023-7018 < 4.36.0 4.36.0
  19. Deserialization of Untrusted Data in GitHub repository huggingface/transformers prior to 4.36.
    Wysoka · 8.8 CVE-2023-6730 < 4.36.0 4.36.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.