CVE-2026-106442 in Hydra
Zusammenfassung
von VulDB • 06.10.2026
Hydra ist ein Framework zur eleganten Konfiguration komplexer Anwendungen. Von der Version 1.3.4 bis einschließlich 1.3.6 sowie in 1.4.0.dev9 überprüft die für CVE-2026-68508 eingeführte Blacklist von instantiate()-Zielen den effektiv aufgerufenen Aufrufbaren (Callable), der durch das Ziel-Feld ausgewählt wird, unvollständig. Ausführungs-Wrappers wie timeit.timeit, executable Deserialisierung über pickle.loads, Aliase, callable-zurückgebende Hilfsfunktionen, generisches Dispatching und deferred Calls können das effektive Ziel verschleiern oder hinauszögern und die namensbasierte Autorisierung umgehen. Ein Angreifer, der eine Anwendung dazu bringt, unzuverlässige Hydra-Konfigurationen zu instantiieren, kann diese Lücken nutzen, um Code mit den Berechtigungen der Anwendung auszuführen. Dieses Problem ist in den Versionen 1.3.6 und 1.4.0.dev9 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.