CVE-2026-25874

Nome do Software Vulnerável e Versões Afetadas LeRobot versões anteriores a 0.6.0

Description Um problema de desserialização insegura existe no pipeline de inferência assíncrona dos componentes do servidor de políticas e do cliente do robô. O software utiliza a função pickle.loads() para desserializar dados recebidos através de canais gRPC não autenticados e sem TLS (Transport Layer Security), um protocolo utilizado para criptografar comunicações. Um invasor não autenticado com alcance de rede pode alcançar a execução de código arbitrário no servidor ou cliente enviando um payload pickle especialmente criado através das seguintes chamadas gRPC:

A exploração deste problema pode levar ao comprometimento do host PolicyServer e dos robôs conectados, roubo de dados sensíveis, como chaves de API e credenciais SSH, movimentação lateral na rede, negação de serviço ou ameaças à segurança física devido ao controle de sistemas robóticos.

Recommendations Atualize o LeRobot para a versão 0.6.0. Como mitigação temporária, restrinja o acesso de rede à porta do PolicyServer para evitar o acesso remoto não autenticado.