CVE-2026-35171
Açıklama
Kedro, üretim hazır veri bilimi için bir araç kutusudur. 1.3.0 sürümünden önce Kedro, günlükleme yapılandırma dosyası yolunun KEDRO_LOGGING_CONFIG ortam değişkeni aracılığıyla ayarlanmasına izin verir ve bu yolu herhangi bir doğrulama yapmadan yükler. Günlükleme yapılandırma şeması, rastgele çağrılabilir nesne örneklendirmesini etkinleştiren özel () anahtarını desteklemektedir. Bir saldırgan, bunu uygulama başlatma sırasında rastgele sistem komutları çalıştırmak için istismar edebilir. Bu durum, kullanıcı kontrollü girdi ile logging.config.dictConfig() fonksiyonunun güvensiz kullanımı nedeniyle ortaya çıkan kritik bir uzaktan kod çalıştırma (RCE) zafiyetidir. Bu zafiyet 1.3.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- linuxfoundation kedro1.3.0 ya da sonraki bir sürüm
- kedro1.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation kedro | v < 1.3.0 | 1.3.0 |
| kedroPyPI | v < 1.3.0 | 1.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.