Transformers's ReDoS vulnerability in get_configuration_file can lead to catastrophic backtracking
A Regular Expression Denial of Service (ReDoS) vulnerability was discovered in the Hugging Face Transformers library, specifically in the get_configuration_file() function within the transformers.configuration_utils module. The affected version is 4.49.0, and the issue is resolved in version 4.51.0. The vulnerability arises from the use of a regular expression pattern config\.(.*)\.json that can be exploited to cause excessive CPU consumption through crafted input strings, leading to catastrophic backtracking. This can result in model serving disruption, resource exhaustion, and increased latency in applications using the library.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | transformers | < 4.51.0 | 4.51.0 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2025-3263
- https://github.com/huggingface/transformers/commit/0720e206c6ba28887e4d60ef60a6a089f6c1cc76
- https://github.com/huggingface/transformers/commit/126abe3461762e5fc180e7e614391d1b4ab051ca
- https://github.com/huggingface/transformers
- https://huntr.com/bounties/c7a69150-54f8-4e81-8094-791e7a2a0f29
- https://pypi.org/project/transformers
- https://github.com/advisories/GHSA-q2wp-rjmx-x6x9
- Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- Słabość (CWE)
CWE-1333- Platforma
- Python (PyPI)
- Paczka
transformers- Ujawniono
- 07.07.2025
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-1987 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-q2wp-rjmx-x6x9 - CC BY 4.0
Historia podatności: transformers
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 32
- Pierwsza → ostatnia
- 05.2023 09.2026
- Bez poprawki
- 9
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 18
- Średnia 12
- Niska 2
Ujawnienia w latach
- 2023: 3
- 2024: 4
- 2025: 20
- 2026: 5
-
Transformers's ReDoS vulnerability in get_configuration_file can lead to catastrophic backtracking ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.