CVE-2026-57845
CVE-2026-57845 · Hugging Face Datasets through 5.1.0 Pickle Deserialization RCE via Pandas Builder
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Hugging Face Datasets through 5.1.0 contains an insecure deserialization vulnerability that allows attackers to execute arbitrary Python code by crafting a malicious pickle file loaded through the deprecated pandas packaged builder. Attackers can supply a pickle-backed dataset that is processed by Pandas._generate_tables via pandas.read_pickle() without validation, so when a victim calls datasets.load_dataset("pandas", data_files=...), the embedded __reduce__ payload executes code with the victim process's privileges.
CVSS 8.7 · Высокий · EPSS 0,5% · Публичный эксплойт
- Опубликовано
- Обновлено
Затронутые продукты и версии
datasets
- Версии
- ≥ 0, ≤ 5.1.0: Затронуто (semver)
Нет опубликованного исправления