CVE-2026-68508

Hydra, karmaşık uygulamaların zarif bir şekilde yapılandırılması için kullanılan bir çerçevedir. 1.3.4 sürümünden önce, hydra.utils.instantiate(), hydra/_internal/instantiate/_instantiate2.py içindeki _resolve_target() aracılığıyla yapılandırma tarafından seçilen Python nesnelerini çözer ve çağırır; bu durum, saldırgan tarafından kontrol edilen hedef değerlerin ve argümanların tehlikeli çağrılabilirleri seçmesine olanak tanır. Güvenilmeyen yapılandırmaları, CLI geçersiz kılmalarını veya model meta verilerini hydra.utils.instantiate() fonksiyonuna aktaran bir tüketici uygulama, kütüphane, CLI iş akışı veya model yükleyici; dosyaların ve kimlik bilgilerinin okunması veya değiştirilmesi ya da işlemin sonlandırılması dahil olmak üzere kendi işleminde rastgele kod çalıştırabilir. Sürüm 1.3.4, açık bir HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE kaçış kapısı ile hedef engelleme özelliği ekler. Bu sorun 1.3.4 sürümünde düzeltilmiştir.