Veille sécuritéBackend & données
P3Élevée
Hugging Face Datasets jusqu’à la version 5.1.0 incluse présente une désérialisation pickle non sécurisée dans le constructeur pandas déprécié. Lors du chargement d’un jeu de données pandas conçu à cet effet, le code contenu dans le pickle peut s’exécuter avec les privilèges du processus victime.
Python
IdentifiantCVE-2026-57845
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-57845
Analyse technique
Le constructeur pandas déprécié traite des fichiers pickle par pandas.read_pickle() sans validation préalable.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-23T16:16:52Z, soit le 2026-10-23 à 18:16:52+02:00, dans la période demandée.
ImpactExécution de code arbitraire dans le processus qui charge le fichier pickle.
Versions affectéesHugging Face Datasets jusqu’à 5.1.0
ContournementNe pas charger de fichiers pickle non fiables avec le builder pandas; vérifier leur provenance.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-23T18:16:52+02:00
Mise à jour2026-10-23T21:45:03.547+02:00
Détection / vérification
Repérer l’usage du builder pandas de Datasets et éviter de charger avec lui des fichiers pickle non fiables.
Action recommandée
Éviter de charger des jeux de données non fiables via le constructeur pandas déprécié et appliquer le correctif dès sa disponibilité.
Sources
Priorisation DFS : P3 · 1 source(s).