Unsloth CVE-2026-93348: Code-Ausführung aus der config.json vor dem Modell-Laden, mit CVSS 8,6 — VulnCheck meldet am 30. Oktober eine Injektion im Fine-Tuning-Werkzeug Unsloth Zoo: Der Wert model_type aus der Modell-Config wird per Zeileneinbrüche in einen generierten Import eingeschleust und an exec() gereicht. Der Code läuft vor dem Laden der Gewichte, deshalb greift weder trust_remote_code False noch das Safetensors-Format; betroffen sind Releases von 2025.9.9 bis 2026.8.14 (Zoo) bzw. 2026.8.20 (Unsloth) — die zweite Code-Ausführungs-Offenlegung eines Unsloth-Strangs binnen Monatsfrist, nachdem Unsloth Studio am 1. Oktober noch eine hartcodierte Trust-Vorgabe offenlegen musste. Quelle Sekundär · 🗃 Wayback Machine (Archiv)
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von vulncheck.com. Es erfolgte keine manuelle redaktionelle Bearbeitung.
Einordnung in die Rubrik Die Schattenseiten der Entwicklung
Dieser Beitrag erfüllt ein Kriterium der Rubrik. Belegt ist das durch:
- Sicherheitsvorfall im Titel — „Unsloth CVE-2026-93348: Code-Ausführung aus der config.json vor dem Modell-Laden, mit CVSS 8,6“
Kriterien der Rubrik — Sicherheitsvorfall: Angriff, Datenleck, Schwachstelle oder Erpressung. Die Rubrik steht zusätzlich zur Themenspalte: der Beitrag bleibt in seinem Ressort.
Quellen dieses Beitrags: Originalquelle
Querverweise — andere Meldungen der Rubrik aus demselben Zeitraum oder von derselben Quelle:
Kalina Digest unterstützen
Lesen bleibt frei. Wer mag, gibt etwas zurück — ab 1 € einmalig, oder als Stufe für einen Monat, ein Quartal oder ein Jahr. Bisher: 5.00 € aus 1 Beiträgen.
