CVE-2026-58203
Açıklama
pydantic-settings, Pydantic kullanarak ayarlar yönetimi sağlar. 2.12.0 ile 2.14.2 sürümleri arasında NestedSecretsSettingsSource, yapılandırılmış bir secrets_dir içindeki dosyalardan gizli değerleri okur. secrets_nested_subdir=True olduğunda, secrets_dir içindeki ve secrets_dir dışına işaret eden sembolik bağlantı şeklindeki bir dizin girişi takip edilir; böylece yapılandırılmış dizinin dışındaki dosyalar ayar değerlerine okunur. Aynı kod yolu, belgelenmiş olan secrets_dir_max_size korumasını da devre dışı bırakır. Yapılandırılmış gizli dizindeki girişleri etkileyebilen bir saldırgan veya düşük yetkili bir bileşen (örneğin, yazılabilir veya paylaşılan bir secrets mount üzerinden), bu durumu ayarlara yönelik istenmeyen bir yerel dosya okuma işlemine dönüştürebilir ve duyurulan yükleme boyutu sınırını aşabilir. Bu güvenlik açığı 2.14.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- pydantic pydantic-settings2.14.2 ya da sonraki bir sürüm
- pydantic-settings2.14.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pydantic pydantic-settings | 2.12.0 ≤ v < 2.14.2 | 2.14.2 |
| pydantic-settingsPyPI | 2.12.0 ≤ v < 2.14.2 | 2.14.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.