CVE-2026-106439 in Hydra
Zusammenfassung
von VulDB • 07.10.2026
Hydra ist ein Framework zur eleganten Konfiguration komplexer Anwendungen. Von der Version 1.3.4 bis einschließlich 1.3.7 sowie in 1.4.0.dev10 speichert Hydra Legacy-Blocklisten für Instantiierungsziele und zugehörige Sammlungen von Ausführungsrichtlinien im veränderbaren Zustand auf Modulebene (mutable module-level state). Ein Angreifer, der mehrere geschwisterliche Ziel-Einträge kontrollieren kann, kann über `instantiate()` die Methode `discard` des Attributs `hydra._internal.target_policy.UNCONTROLLED_EXECUTION_TARGETS` aufrufen, ein verweigertes Ziel entfernen und dieses anschließend aufrufen, da Knoten in der Einfügereihenfolge (insertion order) gegen dieselbe modifizierte Richtlinie verarbeitet werden. Die Mutation bleibt im prozessglobalen Zustand erhalten und kann die Code-Ausführung mit den Berechtigungen der Anwendung ermöglichen; dabei wird ein enges Ausführungs-Whitelist, das von vertrauenswürdigen Python-Code bereitgestellt wird, durch den gemeldeten direkten Mutationspfad nicht umgangen. Dieses Problem wurde in den Versionen 1.3.7 und 1.4.0.dev10 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.