EXPLOIT PÚBLICODetectada 09 NOV · 16:45

CVE-2026-115878 Ejecución remota de código por deserialización de pickle en el lematizador de Stanza

Cargar un checkpoint de lematizador provisto por un atacante puede ejecutar código arbitrario porque stanza/models/lemma/trainer.py almacena pos_dict como bytes pickle comprimidos con gzip y Trainer.load pasa el flujo descomprimido a pickle.loads sin restricciones. Es alcanzable durante la construcción del pipeline mediante un lemma_model_path influido por el llamador, antes de la inferencia. Afecta desde 1.14.0 hasta antes de 1.15.0 y se corrige en 1.15.0.

7.8ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,6 % · percentil 48
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

stanfordnlp stanza
= 1.14.0

Qué hacer

Verificá si usás stanza y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

federiconbaez/cortex9-stanza-lemma-pickle-to-json-model Offline educational model of CVE-2026-115878 (Stanza lemma pickle→JSON)09 NOV · 16:45

Calculadora CVSS

CVSS 3.1 · 7.8 ALTA

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Vector de ataqueLocal
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioRequerida
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

Stanza is a Stanford NLP Python library for tokenization, sentence segmentation, NER, and parsing of many human languages. From 1.14.0 until 1.15.0, loading an attacker-supplied lemmatizer checkpoint can execute arbitrary code because stanza/models/lemma/trainer.py stores pos_dict as gzip-compressed pickle bytes and Trainer.load passes the decompressed stream to unrestricted pickle.loads. The outer torch.load call uses weights_only=True, but the nested bytes are treated as a primitive and are not inspected by that allowlist. The path is reachable during pipeline construction through a caller-influenced lemma_model_path, before inference begins. This issue is fixed in version 1.15.0.

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.