JVNDB-2026-016259

huggingfaceのDiffusersにおけるコードインジェクションの脆弱性

Diffusersは事前学習済み拡散モデルのライブラリです。バージョン0.38.0以前、特にdiffusers 0.37.0では、trust_remote_code=Trueの保護機能を使用せずにHugging Face Hubリポジトリからパイプラインをロードする際にリモートコード実行が可能でした。pipeline_loading_utils.py内の_resolve_custom_pipeline_and_cls関数は、custom_pipelineパラメータに対してf"{custom_pipeline}.py"という文字列補間を行います。custom_pipelineがユーザーから提供されない場合、デフォルトはNoneであり、Pythonはこれを「None.py」という文字列として補間します。攻撃者がDiffusionPipelineをサブクラス化したクラスを含むNone.pyファイルを含むHubリポジトリを公開すると、そのファイルは標準的なDiffusionPipeline.from_pretrained()呼び出し時に追加のキーワード引数なしで自動的にダウンロードされ、実行されます。DiffusionPipeline.download()内のtrust_remote_codeチェックは、custom_pipelineが渡されなかったためにcustom_pipeline is not Noneの評価をFalseとしてバイパスされますが、実際にモジュールをロードする下流のコードはNone値を有効なファイル名に解決します。攻撃者はNone.pyファイルを含む悪意のあるモデルリポジトリと正規のパイプラインクラス名を参照する標準的なmodel_index.jsonを公開し、被害者がリポジトリに対してfrom_pretrainedを呼び出すだけで沈黙のうちに任意コードが実行されてしまいます。この脆弱性はバージョン0.38.0で修正されました。

huggingface

• Diffusers 0.38.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : None.py Trust Remote Code Bypass  Advisory  huggingface/diffusers  GitHub

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-44827

1. National Vulnerability Database (NVD) : CVE-2026-44827

• [2026年05月20日]
    掲載