PT-2026-36227 · Hugging Face · Lerobot

Published 2026-04-23 · Updated 2026-04-23

BDU

CVSS v2.0

10

High

Base vector

AV:N/AC:L/Au:N/C:C/I:C/A:C

Уязвимость функции pickle.loads() библиотеки Hugging Face LeRobot связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Fix

Deserialization of Untrusted Data

Weakness Enumeration

CWE-502

Related Identifiers

BDU:2026-06131

Affected Products

Lerobot

References · 6

• https://bdu.fstec.ru/vul/2026-06131 · Security Note
• https://github.com/huggingface/lerobot/issues/3134 · Note
• https://github.com/huggingface/lerobot/pull/3048 · Note
• https://github.com/huggingface/lerobot/issues/3047 · Note
• https://vulncheck.com/advisories/lerobot-unsafe-deserialization-remote-code-execution-via-grpc · Note
• https://chocapikk.com/posts/2026/lerobot-pickle-rce · Note