В Unsloth нашли уязвимость с выполнением кода при загрузке моделей

Pillar Security раскрыла уязвимость CVE-2026-93348 с рейтингом 8,6 в загрузчике моделей Unsloth: вредоносная конфигурация модели позволяет выполнить произвольный Python-код даже при trust_remote_code=False. Затронуты Unsloth Zoo 2025.9.9–2026.8.14 и Unsloth 2025.9.9–2026.8.20; исправления вышли в версиях 2026.8.14 и 2026.8.20.

• CVSS уязвимости CVE-2026-93348 — 8,6
• Код исполняется до загрузки весов и токенизаторов
• Затронуты Unsloth Zoo до 2026.8.14 и Unsloth до 2026.8.20
• Под угрозой токены Hugging Face и облачные ключи