آسیب‌پذیری جدیدی با شناسه CVE-2026-57845 در کتابخانه محبوب Hugging Face Datasets (نسخه‌های تا 5.1.0) شناسایی شده است. این نقص امنیتی از نوع Insecure Deserialization (واسازی ناامن) است که به مهاجمان اجازه می‌دهد با استفاده از فایل‌های Pickle مخرب، کد دلخواه پایتون (Arbitrary Python Code) را در سیستم قربانی اجرا کنند.
جزئیات فنی این آسیب‌پذیری نشان می‌دهد که مهاجم می‌تواند یک مجموعه داده (Dataset) مبتنی بر Pickle تهیه کند. زمانی که کاربر از طریق متد منسوخ شده‌ی pandas اقدام به بارگذاری داده‌ها می‌کند (مثلاً با فراخوانی دستور datasets.load_dataset("pandas", data_files=...))، کتابخانه از تابع pandas.read_pickle() برای پردازش فایل استفاده می‌کند.
از آنجایی که این فرآیند فاقد هرگونه اعتبارسنجی (Validation) است، مهاجم می‌تواند از پی‌لود (Payload) موجود در متد __reduce__ در فایل Pickle استفاده کند تا به محض بارگذاری، کد مخرب خود را اجرا نماید. این آسیب‌پذیری می‌تواند منجر به کنترل کامل سیستم در محیط‌های پردازش داده و یادگیری ماشین شود.
