CVE-2026-62997
Açıklama
Kedro-Datasets, Kedro için veri bağlayıcıları sağlar. 5.0.0 ile 9.5.0 versiyonları arasında, kedro-datasets içerisindeki kedro_datasets_experimental.pytorch.PyTorchDataset, .pt model dosyalarını weights_only=True zorunluluğu olmadan torch.load ile yükler ve kullanıcı tarafından sağlanan load_args parametreleri sessizce göz ardı edilir. 2.6 öncesi PyTorch versiyonlarında; saldırgan etkili bir paylaşımlı kayıt defterinden, indirilen bir kontrol noktasından veya bölümlenmiş harici bir kaynaktan gelen kötü niyetli pickle tabanlı bir model, bir Kedro hattı (pipeline) tarafından yüklendiğinde rastgele kod çalıştırabilir. Bu sorun yalnızca isteğe bağlı olan kedro_datasets_experimental bileşenini etkiler ve sadece güvenilir dosyaları yükleyen kullanıcıları etkilemez. Bu sorun 9.5.0 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kedro-org kedro-plugins | >= 5.0.0, < 9.5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.