CVE-2026-3840
Təsvir
Kedro versiya 1.2.0-dakı zəiflik hücumçuya xüsusi hazırlanmış versiya sətri təqdim etməklə yol keçidindən (path traversal) istifadə etməyə imkan verir. `kedro/io/core.py` faylındakı `_get_versioned_path()` metodu istifadəçi tərəfindən təmin edilən versiya sətirlərini təmizləmədən birbaşa fayl sistemi yollarına daxil edir. Bu, hücumçunun nəzərdə tutulmuş versiyalı məlumat dəsti kataloqundan çıxmasına və gözlənilən yoldan kənardakı fayllara giriş əldə etməsinə şərait yaradır. Problem həmçinin CLI vasitəsilə `--load-versions` parametri ilə də əlçatandır, çünki `kedro/framework/cli/utils.py` faylındakı `_split_load_versions()` funksiyası versiya sətrini yoxlamır. Bu zəiflik icazəsiz fayl oxumalarına, məlumatların zəhərlənməsinə, layihələr arası və ya tenant-lar arası məlumatlara girişə, həmçinin Kedronun avtomatlaşdırma və ya orkestrasiya təbəqələri ilə istifadə edildiyi mühitlərdə daha geniş fəsadlara səbəb ola bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation kedro | 1.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.