# 漏洞关键信息 - **标题**: (0Day) Hugging Face Transformers SEW-D convert_config Code Injection Remote Code Execution Vulnerability - **漏洞编号**: - ZDI-25-1148 - ZDI-CAN-28252 - **CVE ID**: CVE-2025-14927 - **CVSS Score**: 7.8, AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - **受影响厂商**: Hugging Face - **受影响产品**: Transformers - **漏洞细节**: - 允许远程攻击者在受影响的Hugging Face Transformers安装上执行任意代码。 - 利用此漏洞需要用户交互，目标必须转换恶意的检查点。 - 问题出在convert_config函数中，未对用户提供的字符串进行适当验证就执行Python代码。 - **附加细节**: - 10/14/25 - ZDI将报告提交给第三方漏洞赏金计划 - 11/11/25 - ZDI要求更新 - 11/12/25 - 厂商拒绝报告并关闭案件 - 12/12/25 - ZDI通知厂商将在12/18/25发布0-day公告 - **披露时间线**: - 2025-10-14 - 向厂商报告漏洞 - 2025-12-18 - 协调公开发布公告 - 2025-12-18 - 公告更新 - **致谢**: - Peter Girnus (@gothburz), Brandon Niemczyk of Trend Zero Day Initiative