CVE-2026-35167 in kedro
Zusammenfassung
von VulDB • 03.06.2026
Kedro ist eine Toolbox für datenwissenschaftliche Anwendungen mit Produktionsreife. Vor Version 1.3.0 erstellt die Methode `_get_versioned_path()` in `kedro/io/core.py` Dateisystempfade, indem sie benutzerspezifische Versionsstrings direkt interpoliert, ohne diese zu bereinigen (Sanitization). Da Versionsstrings als Pfadkomponenten verwendet werden, bleiben Traversierungssequenzen wie `../` erhalten und können das beabsichtigte Verzeichnis für versionierte Datensätze verlassen.
Dieser Zustand ist über mehrere Einstiegspunkte erreichbar: `catalog.load(..., version=...)`, `DataCatalog.from_config(..., load_versions=...)` sowie die Kommandozeilenschnittstelle (CLI) via `kedro run --load-versions=dataset:../../../secrets`. Ein Angreifer, der den Versionsstring beeinflussen kann, kann Kedro dazu zwingen, Dateien außerhalb des beabsichtigten Versionierungsverzeichnisses zu laden. Dies ermöglicht unbefugtes Auslesen von Dateien, Data Poisoning oder den Zugriff auf Daten anderer Mandanten in gemeinsam genutzten Umgebungen. Diese Schwachstelle wurde in Version 1.3.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.