CVE-2026-35492
Təsvir
Kedro-Datasets məlumat konnektorları təmin edən bir Kendo plaginidir. 9.3.0 versiyasından əvvəl kedro-datasets daxilindəki PartitionedDataset yol keçirilməsi (path traversal) boşluğuna malik idi. Bölmə ID-ləri heç bir yoxlama aparılmadan birbaşa dataset-in baza yolu ilə birləşdirilirdi. Bölmə ID-sində ".." komponentlərini ehtiva edən hücumçu və ya zərərli giriş, faylların konfiqurasiya edilmiş dataset kataloqundan kənara yazılmasına səbəb ola bilərdi ki, bu da fayl sistemindəki istənilən faylların üzərinə yazıla bilməsi riskini yaradırdı. İstənilən saxlama backend-indən (lokal fayl sistemi, S3, GCS və s.) istifadə edən PartitionedDataset istifadəçiləri bu problemdən təsirlənmişdir. Bu boşluq 9.3.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kedro-org kedro-plugins | < 9.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.