CVE-2026-35171
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Kedro przed wersją 1.3.0 pozwala na ustawienie ścieżki pliku konfiguracji logowania przez zmienną środowiskową KEDRO_LOGGING_CONFIG i ładuje go bez walidacji. Schemat konfiguracji logowania obsługuje specjalny klucz (), który umożliwia dowolną inicjalizację wywoływalnych obiektów. Atakujący może to wykorzystać do wykonania dowolnych poleceń systemowych podczas uruchamiania aplikacji.
Ocena ryzyka
Atakujący może zdalnie wykonać kod na serwerze podczas uruchamiania aplikacji, co prowadzi do pełnego przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować Kedro do wersji 1.3.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Kedro is a toolbox for production-ready data science. Prior to 1.3.0, Kedro allows the logging configuration file path to be set via the KEDRO_LOGGING_CONFIG environment variable and loads it without validation. The logging configuration schema supports the special () key, which enables arbitrary callable instantiation. An attacker can exploit this to execute arbitrary system commands during application startup. This is a critical remote code execution (RCE) vulnerability caused by unsafe use of logging.config.dictConfig() with user-controlled input. This vulnerability is fixed in 1.3.0.