CVE-2026-35167

Kedro, üretim hazır veri bilimi için bir araç kutusudur. 1.3.0 sürümünden önce, kedro/io/core.py dosyasındaki _get_versioned_path() metodu, kullanıcı tarafından sağlanan versiyon dizelerini temizleme işlemi yapmadan doğrudan ekleyerek dosya sistemi yolları oluşturmaktadır. Versiyon dizeleri yol bileşenleri olarak kullanıldığından, ../ gibi dizin gezgin sekansları korunmakta ve hedeflenen versiyonlanmış veri kümesi dizininin dışına çıkılabilmektedir. Bu durum birden fazla giriş noktası üzerinden erişilebilirdir: catalog.load(..., version=...), DataCatalog.from_config(..., load_versions=...) ve CLI üzerinden kedro run --load-versions=dataset:../../../secrets komutu ile tetiklenebilir. Versiyon dizesini etkileyebilen bir saldırgan, Kedro'yu hedeflenen versiyon dizininin dışındaki dosyaları yüklemeye zorlayarak yetkisiz dosya okuma, veri zehirlemesi veya paylaşımlı ortamlarda kiracılar arası veri erişimine imkan tanıyabilir. Bu güvenlik açığı 1.3.0 sürümünde giderilmiştir.