CVE-2026-86169
Vulnérabilité élevée dans axolotl (axolotl-ai-cloud)
CVSS 8.8 · Élevée
EPSS 0.9%
axolotl-ai-cloud•axolotl•Versions : <0.19.0, 0, 0.19.0
Description
Axolotl before 0.19.0 contains a remote code execution vulnerability in the multipack patch path where trust_remote_code defaults to None instead of False, causing the security guard to be bypassed. Attackers can execute arbitrary Python code by crafting a malicious Hugging Face model repository selected as base_model, which is loaded with hardcoded trust_remote_code=True during AutoModelForCausalLM.from_pretrained.
Gravité et risque d'exploitation
CVE-2026-86169 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.94 %, ce qui la place devant 60.2 % des CVE référencées.
Que faire ?
- Vérifiez si axolotl (versions <0.19.0, 0, 0.19.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/axolotl-ai-cloud/axolotl/pull/3858
- https://github.com/axolotl-ai-cloud/axolotl/commit/b62d60b101eea7f32532ee3c0b17c2f2430a9262
- https://github.com/axolotl-ai-cloud/axolotl/blob/v0.18.0/src/axolotl/loaders/patch_manager.py#L794-L806
- https://github.com/axolotl-ai-cloud/axolotl/blob/v0.18.0/src/axolotl/monkeypatch/multipack.py#L86-L96
- https://github.com/axolotl-ai-cloud/axolotl/releases/tag/v0.19.0
- https://github.com/axolotl-ai-cloud/axolotl
- https://www.vulncheck.com/advisories/axolotl-through-0.18.0-remote-code-execution-via-multipack-patching