何が起きたか
Stanza 1.14.0 以降の lemmatizer は、チェックポイント内の pos_dict を gzip 圧縮した pickle のバイト列として保存しており、読み込み時に制限のない pickle.loads で復元します。torch.load の weights_only=True はバイト列の中身を検査しないため防御にならず、攻撃者が用意した .pt を lemma_model_path などで読み込むと、パイプライン構築の時点で任意のコードが実行されます。
やること
stanza を 1.15.0 以降に更新してください。更新までは、出どころの分からない lemmatizer のモデルファイルを読み込まないでください。
出典
Stanza のセキュリティ勧告github.com英語 ↗GitHub Advisory Databasegithub.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。