CVE-2026-66007
Orta
Açıklama
5.0.0 sürümüne kadar olan Datasets, f989ef9 commit'inde düzeltilen, klasör tabanlı veri kümesi oluşturucularda file_name meta veri alanının veri kümesi dizinine eklenmeden önce uygun şekilde doğrulanmamasından kaynaklanan bir yol aşımı (path traversal) zafiyeti içermektedir. Saldırganlar, rastgele yerel dosyaları okumak için dizin aşımı dizileri içeren özel olarak hazırlanmış file_name değerleri sağlayabilir ve bu dosyalar save_to_disk veya push_to_hub çağrıldığında çıktıya gömülür.
ÖnemOrta
CVSS6.5
İstismar olasılığı—
ÜrünHuggingface Datasets
Yayın24 Tem 2026
İlk görülme24 Tem 2026
Zayıflık türüCWE-22Dizin geçişi (path traversal)
Nasıl düzeltilir
Güncelleyin
- datasets5.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| huggingface datasets | v ≤ 5.0.0 | — |
| datasetsPyPI | v < 5.0.1 | 5.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.