- Son 7 gün
- CWE-502
CVE-2026-57845
Hugging Face Datasets'te Pandas oluşturucusu üzerinden pickle ile uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Hugging Face Datasets 5.1.0 dahil olmak üzere sürümlerde, güvensiz serileştirme (deserialization) açığı bulunmaktadır. Bu açık, saldırganların kötü amaçlı bir pickle dosyası hazırlayarak kullanımdan kaldırılmış pandas paketlenmiş oluşturucusu üzerinden yüklenmesini sağlayarak keyfi Python kodu çalıştırmasına olanak tanır. Saldırganlar, doğrulama yapılmadan pandas.read_pickle aracılığıyla Pandas._generate_tables tarafından işlenen pickle tabanlı bir veri kümesi sunabilir. Kurbanın datasets.load_dataset("pandas", data_files=...) çağrısını yapması durumunda, gömülü __reduce__ yükü kurban sürecinin ayrıcalıklarıyla kodu çalıştırır.
Kaynaktaki açıklama (İngilizce)
Hugging Face Datasets through 5.1.0 contains an insecure deserialization vulnerability that allows attackers to execute arbitrary Python code by crafting a malicious pickle file loaded through the deprecated pandas packaged builder. Attackers can supply a pickle-backed dataset that is processed by Pandas._generate_tables via pandas.read_pickle() without validation, so when a victim calls datasets.load_dataset("pandas", data_files=...), the embedded __reduce__ payload executes code with the victim process's privileges.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| huggingface datasets | ≤ 5.1.0 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/huggingface/datasets/pull/8879 Yama
- vulncheck.com/…-pickle-deserialization-rce-via-pandas-builder Üçüncü taraf
- github.com/SaiTeja-Erukude/CVE-2026-57845-hf-datasets-rce İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.