CVE-2026-57845

Nome do Software Vulnerável e Versões Afetadas Hugging Face Datasets versões 5.1.0 e anteriores

Description Um problema de desserialização insegura ocorre ao usar o construtor de pacotes pandas depreciado. A função datasets.load dataset(), quando chamada com o construtor "pandas" e um arquivo pickle malicioso através do parâmetro data files, processa o arquivo via Pandas. generate tables usando pandas.read pickle() sem a validação adequada. Isso permite que um invasor execute código Python arbitrário com os privilégios do processo da vítima ao incorporar um payload reduce no arquivo pickle.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o construtor "pandas" em load dataset() ao carregar arquivos de fontes não confiáveis. Converta conjuntos de dados pickle para formatos parquet ou arrow. Restrinja a capacidade de usuários ou configurações especificarem o nome do construtor e data files em carregadores de conjuntos de dados genéricos ou frameworks de avaliação.