JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-016195 PyTorch-Lightningのバージョン2.6.0およびそれ以前には、チェックポイントの読み込み機構において安全でないデシリアライズの脆弱性（CWE-502）が存在します。一般的に保存されたモデルの状態を読み込むために使用されるLightningModule.load_from_checkpoint()メソッドは、内部でtorch.load()を呼び出しますが、安全性を高めるためのweights_only=Trueパラメータを設定していません。このデフォルトの動作により、Pickleモジュールを介して任意のPythonオブジェクトをデシリアライズできます。リモートの攻撃者は、悪意のある細工を施したチェックポイントファイルを提供することでこの脆弱性を悪用し、ファイルが読み込まれた際に被害者のシステム上で任意のコードを実行する可能性があります。 cpe:/a:lightningai:pytorch_lightning https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-016195.html Common Vulnerabilities and Exposures (CVE) CVE-2026-31221 https://www.cve.org/CVERecord?id=CVE-2026-31221 National Vulnerability Database (NVD) CVE-2026-31221 https://nvd.nist.gov/vuln/detail/CVE-2026-31221 Notion CVE-2026-31221 | Notion https://www.notion.so/CVE-2026-31221-35d1e1393188815f8db7c4fd08076639 JVNDB CWE-502 https://cwe.mitre.org/data/definitions/502.html 関連文書 GitHub - Lightning-AI/pytorch-lightning: Pretrain, finetune ANY AI model of ANY size on 1 or 10,000+ GPUs with zero code changes. GitHub https://github.com/Lightning-AI/pytorch-lightning 2026-05-18T12:18:07+09:00 2026-05-18T12:18:07+09:00