What is CVE-2026-71281?
CVE-2026-71281 vulnerability has been identified in Hugging Face peft's LoRA-GA and CorDA initialization modules. These modules call `torch.load()` on config-specified files without using `weights_only=True`, bypassing the library's own safe-loading mechanism. Users should update the library to the latest version and avoid loading files from untrusted sources.
Azərbaycanca: CVE-2026-71281 boşluğu Hugging Face peft kitabxanasının LoRA-GA və CorDA modullarında aşkar edilib. Bu modullar konfiqurasiya ilə təyin olunan faylları `torch.load()` vasitəsilə yükləyərkən `weights_only=True` parametrini tətbiq etmir, bu isə zərərli faylların yüklənməsinə imkan yaradır. İstifadəçilər kitabxananı ən son versiyaya yeniləməli və inanılmaz mənbələrdən gələn fayllara diqqət yetirməlidirlər.
Related CVEs
link basis: same weakness class CWE-502
FAQ2
Which modules of the Hugging Face peft library are affected by CVE-2026-71281?
This vulnerability affects the LoRA-GA and CorDA initialization modules of the Hugging Face peft library.
What should users do to protect themselves from CVE-2026-71281?
Users should update the library to the latest version and avoid loading files from untrusted sources.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.