CVE-2026-111170

ŚrednieCVSS 6.5

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

kedro-datasets w wersjach od 9.3.0 do 9.6.0 zawiera podatność path traversal w MatplotlibDataset.save(). Atakujący mogą zapisywać pliki poza katalogiem zbioru danych, podając bezwzględne nazwy wykresów, ponieważ validate_sub_path() usuwa wiodące ukośniki, a pathlib odrzuca ścieżkę bazową.

Ocena ryzyka

Atakujący może tworzyć lub nadpisywać pliki w dowolnym miejscu, do którego proces ma prawo zapisu, co może prowadzić do uszkodzenia danych lub wykonania kodu.

Rekomendacja

Zaktualizuj kedro-datasets do wersji nowszej niż 9.6.0 i waliduj nazwy wykresów, odrzucając ścieżki bezwzględne.

Inne podatności w kedro-datasets

CVE-2026-62997Wysokie
W Kedro-Datasets od wersji 5.0.0 do 9.5.0 komponent kedro_datasets_experimental.pytorch.PyTorchDataset ładuje pliki modeli .pt za pomocą torch.load bez wymuszenia weights_only=True, a dostarczone przez użytkownika load_args są po cichu ignorowane. Na PyTorch w wersjach wcześniejszych niż 2.6 złośliwy model oparty na pickle z niezaufanego źródła może wykonać dowolny kod podczas ładowania przez pipeline Kedro.

Oryginalny opis (angielski, źródło NVD)

kedro-datasets from 9.3.0 through 9.6.0 contains a path traversal vulnerability in MatplotlibDataset.save() that allows attackers to write files outside the dataset directory by supplying absolute plot names. Because validate_sub_path() strips leading slashes while pathlib's join discards the base path, attackers can create or overwrite files anywhere the process can write.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS