CVE-2026-62997
Təsvir
Kedro-Datasets, Kedro üçün məlumat konnektorları təmin edir. Versiya 5.0.0-dan 9.5.0-a qədər, kedro-datasets daxilindəki kedro_datasets_experimental.pytorch.PyTorchDataset, .pt model fayllarını weights_only=True şərtini tətbiq etmədən torch.load ilə yükləyir və istifadəçi tərəfindən təqdim edilən load_args arqumentləri səssiz şəkildə silinir. PyTorch-un 2.6-dan əvvəlki versiyalarında, hücumçunun təsir etdiyi ortaq reyestrdən, yüklənmiş yoxlama nöqtəsindən (checkpoint) və ya bölümlənmiş xarici mənbədən gələn zərərli pickle əsaslı model, Kedro boru kəməri (pipeline) onu yüklədikdə ixtiyari kodun icrasına səbəb ola bilər. Bu problem yalnız könüllü olaraq aktivləşdirilən kedro_datasets_experimental komponentinə təsir edir və yalnız etibarlı faylları yükləyən istifadəçilərə təsir göstərmir. Problem 9.5.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kedro-org kedro-plugins | >= 5.0.0, < 9.5.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.