NVIDIA Merlin Transformers4Rec para todas las plataformas contiene una vulnerabilidad en una dependencia de python, donde un atacante podría causar un problema de inyección de código. Una explotación exitosa de esta vulnerabilidad podría

La inyección de código en NVIDIA Merlin Transformers4Rec permite a un atacante ejecutar código arbitrario en el sistema donde se está ejecutando la biblioteca. Esto podría llevar a la toma de control completa del sistema, permitiendo al atacante instalar malware, robar datos confidenciales, modificar la configuración del sistema o incluso utilizar el sistema como punto de partida para atacar otros sistemas en la red. La divulgación de información podría incluir datos de entrenamiento de modelos, claves de API o cualquier otra información sensible almacenada en el sistema. La manipulación de datos podría comprometer la integridad de los modelos de recomendación, lo que podría llevar a resultados incorrectos o sesgados.

Organizations deploying NVIDIA Merlin Transformers4Rec for recommendation systems, particularly those handling sensitive user data or operating in environments with limited security controls, are at risk. Environments utilizing older, unpatched versions of Transformers4Rec are especially vulnerable.

• python / server:

import subprocess
result = subprocess.run(['pip', 'show', 'transformers4rec'], capture_output=True, text=True)
if 'Version' in result.stdout:
    version = result.stdout.split('Version: ')[1].split('\n')[0]
    if version.split('.')[0] == 'x.x' and int(version.split('.')[1]) < 1:
        print('Potential vulnerability: Transformers4Rec version is vulnerable.')
else:
    print('Transformers4Rec not found.')

1. 2025-08-13Disclosure

   disclosure

1. Reservado2025-01-14
2. Publicada2025-08-13
3. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar NVIDIA Merlin Transformers4Rec a la versión que incluye la commit b7eaea5. Si la actualización no es inmediatamente posible, se recomienda revisar las dependencias de Python utilizadas por Transformers4Rec y asegurarse de que estén actualizadas a las últimas versiones. Aunque no es una solución completa, la implementación de un sistema de control de acceso estricto puede limitar el daño potencial en caso de una explotación exitosa. Monitorear los logs del sistema en busca de actividad sospechosa, como la ejecución de comandos inesperados o la modificación de archivos críticos, también puede ayudar a detectar y responder a un ataque en curso. Después de aplicar la actualización, confirme la mitigación verificando que la commit b7eaea5 esté presente en el código fuente de Transformers4Rec.