CVE-2026-25874 in LeRobot
الملخص
بحسب VulDB • 09/05/2026
يحتوي LeRobot على ثغرة غير آمنة في عملية الاسترجاع غير الآمن (unsafe deserialization) ضمن خط الاستدلال غير المتزامن (async inference pipeline)، حيث يتم استخدام `pickle.loads()` لاسترجاع البيانات المستلمة عبر قنوات gRPC غير المصادق عليها وبدون تشفير TLS في مكونات خادم السياسة (policy server) وعميل الروبوت. يمكن لمهاجم قادر على الوصول عبر الشبكة دون الحاجة إلى المصادقة تحقيق تنفيذ عشوائي للأوامر (arbitrary code execution) على الخادم أو العميل عن طريق إرسال حمولة pickle مُعدّة بعناية عبر استدعاءات gRPC مثل `SendPolicyInstructions` أو `SendObservations` أو `GetActions`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.