CERT/CC ha pubblicato la nota di vulnerabilità VU#456290 il 1° settembre, riguardando CVE-2026-80047 in Hugging Face Transformers. Nelle parole della nota, la libreria “esegue un recupero remoto del modulo e una scrittura nella cache locale prima di valutare il prompt di consenso trust_remote_code, violando il contratto di sicurezza applicato negli altri percorsi di caricamento dinamico dei moduli”.
Dove l'ordine si inverte
Il percorso interessato è load_custom_generate(), che richiama get_cached_module_file() per il file custom_generate/generate.py di un repository di modello. Quel helper copia il file nella cache locale HF_MODULES_CACHE. Solo dopo viene consultato resolve_trust_remote_code(). Tutti gli altri percorsi di caricamento — AutoConfig, AutoModel, AutoTokenizer — chiedono il consenso prima di toccare il disco.
Ciò che la lettura più comune sbaglia
La vicenda verrà presentata come esecuzione di codice remoto in Transformers, e il riassunto di NVD la favorisce aprendo con “remote Python files”. Non si tratta di RCE di per sé: rifiutare il prompt di fiducia blocca comunque l'esecuzione, perché get_class_in_module() viene eseguito dopo la chiamata al consenso. Ciò che non si può rifiutare è l'arrivo del file nella cache, dove un successivo caricamento autorizzato può entrarvi in conflitto. L'impatto è una scrittura indesiderata che sopravvive alla sessione in cui l'utente ha detto no.
L'intervallo delle versioni punta nella direzione sbagliata
La consulenza indica l'intervallo interessato come dalla 4.49.0 alla 5.8.1, e l'array delle vulnerabilità nel record GitHub è vuoto, quindi non viene indicata alcuna versione corretta. Leggere quel tetto come “le versioni più recenti sono pulite” è la trappola: l'ordine fetch-before-consent non è cambiato in v5.16.1, rilasciata il 26 agosto — otto release minori oltre il limite superiore dell'intervallo dichiarato. L'intervallo registra dove si sono fermati i test, non dove si ferma il bug.
Nessuna dichiarazione del vendor, dopo quattro settimane
CERT/CC indica Hugging Face come notificata il 4 agosto e, al momento della pubblicazione il 1° settembre, riporta lo stato del vendor come Unknown con la frase “Non abbiamo ricevuto alcuna dichiarazione dal vendor”. Non viene pubblicato nemmeno un punteggio — né GitHub né CERT/CC assegnano un CVSS. Un intervallo di 28 giorni tra notifica e pubblicazione senza risposta del vendor è la storia della disclosure che affianca quella tecnica.