Um problema de desserialização insegura existe no leitor WebDataset. Um invasor pode alcançar a execução remota de código ao fornecer um arquivo tar malicioso para a função `read webdataset()`. A função ` default decoder()` em webdataset datasource.py chama incondicionalmente `pickle.loads()` em entradas tar com extensões .pkl ou .pickle e `torch.load()` com `weights only=False` em entradas .pt ou .pth. Isso resulta na execução de código arbitrário dentro dos trabalhadores remotos do Ray em cada trabalhador que processa o arquivo malicioso. Desserialização é o processo de converter um formato de dados de volta em um objeto, o que se torna inseguro quando dados não confiáveis são processados sem validação.