CVE-2026-5241: Bypass de política no carregamento de configuração do LightGlue no Transformers da Hugging Face

Visão geral

A CVE-2026-5241 é um bypass de política no caminho de carregamento de modelos LightGlue do huggingface/transformers. A configuração trust_remote_code, que deveria bloquear a execução de código remoto, pode ser sobrescrita por dados de configuração serializados e não confiáveis dentro de um caminho de carregamento aninhado. O registro descreve a falha como um problema na forma como a resolução aninhada de configuração respeita a política definida pelo chamador.

Impacto

O registro afirma que um repositório de modelos controlado por um atacante pode executar código arbitrário durante a inicialização do modelo.
O registro afirma que isso pode ocorrer mesmo quando a vítima define explicitamente trust_remote_code como False.
O registro lista possíveis consequências, incluindo roubo de credenciais, movimentação lateral e persistência ou instalação de backdoor.
O registro cita servidores de inferência de API, notebooks de pesquisa, pipelines de CI/CD e workers de avaliação de modelos como ambientes de alto risco.

Produtos e versões afetadas

Produto: Huggingface Transformers.
O registro lista a versão 5.2.0 como afetada e, como limite, a faixa anterior a 5.5.0.
O registro não informa se versões anteriores também são afetadas.

Situação de exploração

A CVE não consta no catálogo KEV da CISA no registro, portanto esta análise não estabelece exploração ativa confirmada.
Os dados SSVC do registro classificam a exploração como prova de conceito e a automatizabilidade como não.
Uma referência de bounty do huntr possui a tag Exploit, o que indica material relacionado a exploração, mas isso não confirma exploração no mundo real.

Correção e mitigação

Atualize o huggingface/transformers para uma versão igual ou superior a 5.5.0, que é o limite superior da faixa afetada no registro.
Revise o commit de correção upstream citado no registro para confirmar que a mudança se aplica ao seu ambiente.
Trate repositórios de modelos e seus arquivos de configuração como entrada não confiável e carregue modelos apenas de fontes que você controla ou validou.
Isole workers de inferência, notebooks e pipelines de CI que carregam modelos de terceiros, limitando o acesso a credenciais e a segmentos de rede sensíveis.
Consulte avisos de fornecedores e distribuições, como os errata da Red Hat listados nas referências, para correções empacotadas.

Orientações de detecção

Faça um inventário dos sistemas com huggingface/transformers instalado e registre a versão instalada.
Registre downloads de modelos e eventos de inicialização, sinalizando cargas de repositórios que não estejam em lista aprovada.
Monitore importações inesperadas de módulos Python ou novos processos iniciados durante o carregamento de modelos em hosts de workers.

Limitações das informações disponíveis

O registro traz várias notas CVSS de provedores diferentes, e elas não são idênticas: 9.6 da NVD e 7.7 e 8 de outros provedores. O registro não explica as diferenças.
O registro não informa explicitamente uma versão corrigida; o limite 5.5.0 vem da faixa afetada.
O registro não inclui análise técnica detalhada da causa raiz além da descrição.
O valor EPSS do registro é uma estimativa de probabilidade e não confirma exploração.

Perguntas frequentes

Qual é o problema central da CVE-2026-5241?

De acordo com o registro, a configuração trust_remote_code é sobrescrita por dados de configuração não confiáveis em um caminho de carregamento aninhado do LightGlue, permitindo que código de um repositório controlado por atacante seja executado mesmo com a configuração em False.

Quais versões são afetadas?

O registro lista a versão 5.2.0 como afetada e indica como limite superior a faixa anterior a 5.5.0. Não informa se versões mais antigas também são afetadas.

Há exploração conhecida no mundo real?

Não. A CVE não consta no catálogo KEV da CISA no registro, e as fontes consultadas não confirmam exploração ativa.

O que administradores devem fazer agora?

Atualizar para 5.5.0 ou superior, tratar repositórios de modelos como não confiáveis e isolar workers que carregam modelos de terceiros.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.