CVE-2026-66007

ŚrednieCVSS 6.5

Opublikowano: 24/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.55%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Podatność typu path traversal w bibliotece Datasets do wersji 5.0.0. Pole file_name w metadanych nie jest odpowiednio walidowane przed dołączeniem do katalogu zbioru danych, co pozwala atakującym na odczyt dowolnych plików lokalnych poprzez sekwencje typu '../'.

Ocena ryzyka

Atakujący może odczytać poufne pliki systemowe, które zostaną osadzone w wynikach podczas zapisu lub publikacji zbioru danych.

Rekomendacja

Zaktualizuj bibliotekę Datasets do wersji zawierającej poprawkę (commit f989ef9) lub zastosuj walidację ścieżek w polu file_name.

Inne podatności w Datasets

CVE-2026-65010Średnie
Datasets do wersji 5.00 (poprawione w commit ad2d853) zawiera podatność na podążanie za dowiązaniami symbolicznymi w metodzie Extractor.extract(). Lokalny atakujący może wstępnie umieścić dowiązania symboliczne w przewidywalnych ścieżkach wyjściowych, co pozwala na zapis dowolnych plików poza katalogiem docelowym.

Oryginalny opis (angielski, źródło NVD)

Datasets through 5.0.0, fixed in commit f989ef9, contains a path traversal vulnerability in folder-based dataset builders where the file_name metadata field is not properly validated before being joined to the dataset directory. Attackers can supply crafted file_name values with directory traversal sequences to read arbitrary local files, which are then embedded into output when save_to_disk or push_to_hub is called.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS