CVE-2026-25874

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 15.5%
CWE: CWE-502
KEV Durumu: Hayır

Yayım tarihi: 23 Nisan 2026

Etkilenen: huggingface lerobot

LeRobot 0.5.1 sürümüne kadar, async inference pipeline中的 pickle.loads() işlevinin, TLS olmadan kimliği doğrulanmamış gRPC kanalları üzerinden alınan verileri seri hale getirmek için kullanılması nedeniyle güvenli olmayan bir seri hale getirme açığı içerir. Bu, politika sunucusu ve robot istemci bileşenlerinde mevcuttur. Kimliği doğrulanmamış ve ağa erişimi olan bir saldırgan, SendPolicyInstructions, SendObservations veya GetActions gRPC çağrıları aracılığıyla özel olarak hazırlanmış bir pickle yükünü göndererek sunucuda veya istemcide keyfi kod çalıştırması gerçekleştirebilir.

Orijinal açıklama (İngilizce)

LeRobot through 0.5.1 contains an unsafe deserialization vulnerability in the async inference pipeline where pickle.loads() is used to deserialize data received over unauthenticated gRPC channels without TLS in the policy server and robot client components. An unauthenticated network-reachable attacker can achieve arbitrary code execution on the server or client by sending a crafted pickle payload through the SendPolicyInstructions, SendObservations, or GetActions gRPC calls.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.