CVE-2026-34445: в ONNX до 1.21.0 нашли инъекцию атрибутов через external_data

Уязвимость CVE-2026-34445 в библиотеке ONNX до версии 1.21.0 позволяла вредоносному .onnx-файлу подменять внутренние атрибуты загрузчика через неожиданные ключи в поле external_data. Исправление в 1.21.0 вводит белый список ключей; уязвимость класса CWE-20/CWE-915 оценена в CVSS 8.6 (отказ в обслуживании).

• ONNX < 1.21.0 вызывал setattr для любого ключа external_data без проверки
• Легальные ключи: location, offset, length, checksum, basepath
• CVSS 8.6 HIGH, класс CWE-20/CWE-915, исправлено в 1.21.0
• Вышел бесплатный сканер keras-model-scan v0.13.0 с проверкой OEK001