Vulnerabilidad en Hugging Face Transformers (CVE-2025-3263)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
07/07/2025
Última modificación:
08/07/2025
Descripción
Se descubrió una vulnerabilidad de denegación de servicio por expresión regular (ReDoS) en la librería Hugging Face Transformers, específicamente en la función `get_configuration_file()` del módulo `transformers.configuration_utils`. La versión afectada es la 4.49.0 y el problema se solucionó en la versión 4.51.0. La vulnerabilidad surge del uso de un patrón de expresión regular `config\.(.*)\.json`, que puede explotarse para causar un consumo excesivo de CPU mediante cadenas de entrada manipuladas, lo que provoca un retroceso catastrófico. Esto puede provocar interrupciones en el servicio del modelo, agotamiento de recursos y mayor latencia en las aplicaciones que utilizan la librería.
Impacto
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA