CVE-2026-35171
Təsvir
Kedro istehsala hazır məlumat elmi üçün alətlər dəstidir. 1.3.0 versiyasından əvvəl Kedro loqlama konfiqurasiya faylının yolunun KEDRO_LOGGING_CONFIG mühit dəyişəni vasitəsilə təyin edilməsinə icazə verir və onu doğrulama olmadan yükləyir. Loqlama konfiqurasiyası sxemi xüsusi () açarını dəstəkləyir ki, bu da ixtiyari çağırıla bilən obyektlərin instansiyasını yaratmağa imkan verir. Hücumçu bundan tətbiqin işə düşməsi zamanı ixtiyari sistem əmrlərini icra etmək üçün istifadə edə bilər. Bu, istifadəçi tərəfindən idarə olunan girişlə logging.config.dictConfig()-dən qeyri-təhlükəsiz istifadə səbəbindən yaranan kritik uzaqdan kodun icrası (RCE) zəifliyidir. Bu zəiflik 1.3.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- linuxfoundation kedro1.3.0 və ya daha yeni versiya
- kedro1.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation kedro | v < 1.3.0 | 1.3.0 |
| kedroPyPI | v < 1.3.0 | 1.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.