CVE-2026-68508

Hydra mürəkkəb tətbiqlərin səmərəli şəkildə konfiqurasiya edilməsi üçün nəzərdə tutulmuş bir freymvorkdur. 1.3.4 versiyasından əvvəl hydra.utils.instantiate() funksiyası, hydra/_internal/instantiate/_instantiate2.py faylındakı _resolve_target() vasitəsilə konfiqurasiya ilə seçilmiş Python obyektlərini müəyyən edir və çağırır ki, bu da hücumçunun idarə etdiyi hədəf dəyərləri və arqumentləri vasitəsilə təhlükəli çağırıla bilən obyektlərin (callables) seçilməsinə şərait yaradır. Etibarsız konfiqurasiyanı, CLI override-larını və ya model metaməlumatlarını hydra.utils.instantiate() funksiyasına ötürən istifadəçi tətbiqi, kitabxana, CLI iş axını və ya model yükləyicisi öz prosesində ixtiyari kodun icrasını həyata keçirə bilər ki, bura faylların və etibarnamələrin oxunması və ya dəyişdirilməsi, yaxud prosesin dayandırılması daxildir. 1.3.4 versiyasında aşkar HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE istisna mexanizmi ilə birlikdə hədəflərin bloklanması əlavə edilmişdir. Bu problem 1.3.4 versiyasında aradan qaldırılmışdır.