PT-2026-122146
CVE-2026-57845
·
تاريخ النشر
2026-10-23
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Hugging Face Datasets الإصدارات 5.1.0 وما قبلها
Description
توجد مشكلة في إلغاء التسلسل غير الآمن عند استخدام منشئ حزم pandas المهجور. تقوم الدالة
datasets.load dataset()، عند استدعائها باستخدام منشئ "pandas" وملف pickle خبيث عبر المعلمة data files ، بمعالجة الملف من خلال Pandas. generate tables باستخدام pandas.read pickle() دون التحقق المناسب. يسمح هذا للمهاجم بتنفيذ كود Python تعسفي بصلاحيات عملية الضحية عن طريق تضمين حمولة reduce داخل ملف pickle.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
تجنب استخدام منشئ "pandas" في
load dataset() عند تحميل الملفات من مصادر غير موثوقة.
قم بتحويل مجموعات بيانات pickle إلى تنسيقات parquet أو arrow.
تقييد قدرة المستخدمين أو التكوينات على تحديد اسم المنشئ و data files في أدوات تحميل مجموعات البيانات العامة أو منصات التقييم. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾