UCloud-202506-003:Llama-Factory vhead_file代码执行漏洞安全警告
- 发布时间
- 更新时间
- 2025-06-27
- 漏洞等级
- High
- CVE编号
- CVE-2025-53002
漏洞详情
LLaMA-Factory是一个针对大型语言模型的调优库,CVE-2025-53002中LLaMA-Factory训练过程时由于vhead_file参数在加载模型时没有增加weights_only=True选项,使得恶意攻击者可以通过WebUI界面传递Checkpoint路径参数,从而在主机系统上执行任意的恶意代码,官方已经发布0.9.4版本修复该漏洞,建议升级至最新版本。
修复方案
1.官方已经发布0.9.4版本修复该漏洞,建议升级至最新版本
2.利用安全组设置LLaMA-Factory WebUI仅对可信地址开放
参考链接
https://github.com/hiyouga/LLaMA-Factory/security/advisories/GHSA-xj56-p8mm-qmxj