What is CVE-2026-68770?
CVE-2026-68770 is a security control bypass vulnerability in the sentence-transformers library that allows arbitrary code execution due to a logic flaw in the `import_module_class` helper within `sentence_transformers/util/misc.py`. The bypass occurs because the guard condition includes an `or os.path.exists(model_name)` check, which fails to properly validate the input. Users should update to the latest patched version.
Azərbaycanca: CVE-2026-68770, sentence-transformers kitabxanasında `util/misc.py` faylındakı `import_module_class` funksiyasında məntiq qüsuru səbəbindən ixtiyari kod icrasına imkan verən təhlükəsizlik nəzarətindən yan keçmə zəifliyidir. Bu, `model_name` parametrinin yoxlanılması zamanı `os.path.exists` istifadə edən qoruyucu şərtin düzgün işləməməsi nəticəsində baş verir. İstifadəçilər kitabxananı ən son versiyaya yeniləməli və model adı kimi istifadə olunan daxiletmələri yoxlamalıdırlar.
Related CVEs
link basis: same weakness class CWE-94
FAQ2
How is the CVE-2026-68770 vulnerability exploited in the sentence-transformers library?
The vulnerability allows arbitrary code execution due to a logic flaw in the `import_module_class` function within `sentence_transformers/util/misc.py`, where the `os.path.exists` check on the `model_name` parameter fails to properly validate input.
What should users do to protect against CVE-2026-68770?
Users should update the sentence-transformers library to the latest patched version and validate inputs used as model names.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.