جزئیات آسیب‌پذیری
CVE-2026-34445
ONNX ONNX
ONNX: Malicious ONNX models can crash servers by exploiting unprotected object settings.
CVSS 3.1
8.6بالا
شرح رسمی (انگلیسی)
Open Neural Network Exchange (ONNX) is an open standard for machine learning interoperability. Prior to version 1.21.0, the ExternalDataInfo class in ONNX was using Python’s setattr() function to load metadata (like file paths or data lengths) directly from an ONNX model file. It didn’t check if the "keys" in the file were valid. Due to this, an attacker could craft a malicious model that overwrites internal object properties. This issue has been patched in version 1.21.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.6بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| ONNX | ONNX | < 1.21.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/onnx/onnx/security/advisories/GHSA-538c-55jv-c5g9 x_refsource_CONFIRM
- https://github.com/onnx/onnx/pull/7751 x_refsource_MISC
- https://github.com/onnx/onnx/commit/e30c6935d67cc3eca2fa284e37248e7c0036c46b x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۱/۱۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۱/۱۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۹٪
احتمال بهره‌برداری در ۳۰ روز
۲۱٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-20Improper Input Validation
- CWE-400Uncontrolled Resource Consumption
- CWE-915Improperly Controlled Modification of Dynamically-Determined Object Attributes