CVE-2026-112079
Vulnérabilité moyenne dans HanLP (hankcs)
CVSS 6.3 · Moyenne
hankcs•HanLP•Versions : 2.1.0-beta.12, 2.1.0-beta.54, 2.1.0-beta.19, 2.1.0-beta.25, 2.1.0-beta.24, 2.1.0-beta.58, 2.1.0-beta.64, 2.1.0-beta.21, 2.1.0-beta.56, 2.1.0-beta.40, 2.1.0-beta.60, 2.1.0-beta.35, 2.1.0-beta.17, 2.1.0-beta.29, 2.1.0-beta.15, 2.1.0-beta.20, 2.1.0-beta.31, 2.1.0-beta.11, 2.1.0-beta.32, 2.1.0-beta.48, 2.1.0-beta.33, 2.1.0-beta.57, 2.1.0-beta.61, 2.1.0-beta.34, 2.1.0-beta.49, 2.1.0-beta.4, 2.1.0-beta.38, 2.1.0-beta.50, 2.1.0-beta.41, 2.1.0-beta.1, 2.1.0-beta.42, 2.1.0-beta.63, 2.1.0-beta.46, 2.1.0-beta.52, 2.1.0-beta.26, 2.1.0-beta.37, 2.1.0-beta.18, 2.1.0-beta.5, 2.1.0-beta.45, 2.1.0-beta.23, 2.1.0-beta.59, 2.1.0-beta.36, 2.1.0-beta.51, 2.1.0-beta.6, 2.1.0-beta.55, 2.1.0-beta.28, 2.1.0-beta.14, 2.1.0-beta.8, 2.1.0-beta.0, 2.1.0-beta.62, 2.1.0-beta.30, 2.1.0-beta.43, 2.1.0-beta.53, 2.1.0-beta.13, 2.1.0-beta.47, 2.1.0-beta.22, 2.1.0-beta.2, 2.1.0-beta.9, 2.1.0-beta.39, 2.1.0-beta.3, 2.1.0-beta.10, 2.1.0-beta.16, 2.1.0-beta.27, 2.1.0-beta.44, 2.1.0-beta.7
Description
A vulnerability has been found in hankcs HanLP up to 2.1.0-beta.64. The affected element is the function load_word2vec_as_vocab_tensor of the file hanlp/utils/torch_util.py. The manipulation of the argument vectors.vocab leads to deserialization. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Gravité et risque d'exploitation
CVE-2026-112079 obtient un score CVSS de 6.3/10, soit une gravité moyenne.
Que faire ?
- Vérifiez si HanLP (versions 2.1.0-beta.12, 2.1.0-beta.54, 2.1.0-beta.19, 2.1.0-beta.25, 2.1.0-beta.24, 2.1.0-beta.58, 2.1.0-beta.64, 2.1.0-beta.21, 2.1.0-beta.56, 2.1.0-beta.40, 2.1.0-beta.60, 2.1.0-beta.35, 2.1.0-beta.17, 2.1.0-beta.29, 2.1.0-beta.15, 2.1.0-beta.20, 2.1.0-beta.31, 2.1.0-beta.11, 2.1.0-beta.32, 2.1.0-beta.48, 2.1.0-beta.33, 2.1.0-beta.57, 2.1.0-beta.61, 2.1.0-beta.34, 2.1.0-beta.49, 2.1.0-beta.4, 2.1.0-beta.38, 2.1.0-beta.50, 2.1.0-beta.41, 2.1.0-beta.1, 2.1.0-beta.42, 2.1.0-beta.63, 2.1.0-beta.46, 2.1.0-beta.52, 2.1.0-beta.26, 2.1.0-beta.37, 2.1.0-beta.18, 2.1.0-beta.5, 2.1.0-beta.45, 2.1.0-beta.23, 2.1.0-beta.59, 2.1.0-beta.36, 2.1.0-beta.51, 2.1.0-beta.6, 2.1.0-beta.55, 2.1.0-beta.28, 2.1.0-beta.14, 2.1.0-beta.8, 2.1.0-beta.0, 2.1.0-beta.62, 2.1.0-beta.30, 2.1.0-beta.43, 2.1.0-beta.53, 2.1.0-beta.13, 2.1.0-beta.47, 2.1.0-beta.22, 2.1.0-beta.2, 2.1.0-beta.9, 2.1.0-beta.39, 2.1.0-beta.3, 2.1.0-beta.10, 2.1.0-beta.16, 2.1.0-beta.27, 2.1.0-beta.44, 2.1.0-beta.7) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.