CVE-2025-54886
📌 Загружаешь ML-модель, а получаешь троянского коня 🐴
✍️ В библиотеке skops до версии 0.13.0 можно ненароком запустить чужой код прямо при загрузке модели — всё из-за того, что функция Card.get_model тихо переключается на небезопасный joblib, если формат файла ей не понравился. Так что если вы думали, что ML-модели — это только про данные и предсказания, то вот вам сюрприз! Иногда они ещё и запускают что-то лишнее. Обновляйтесь, пока не поздно!
📌 Загружаешь ML-модель, а получаешь троянского коня 🐴
✍️ В библиотеке skops до версии 0.13.0 можно ненароком запустить чужой код прямо при загрузке модели — всё из-за того, что функция Card.get_model тихо переключается на небезопасный joblib, если формат файла ей не понравился. Так что если вы думали, что ML-модели — это только про данные и предсказания, то вот вам сюрприз! Иногда они ещё и запускают что-то лишнее. Обновляйтесь, пока не поздно!