CVE-2026-35171 in kedro
Zusammenfassung
von VulDB • 09.07.2026
Kedro ist eine Toolbox für datenwissenschaftliche Anwendungen, die produktionsreif sind. Vor Version 1.3.0 erlaubt Kedro das Festlegen des Pfads zur Protokollierungskonfigurationsdatei über die Umgebungsvariable KEDRO_LOGGING_CONFIG und lädt diese ohne Validierung. Das Schema der Protokollierungskonfiguration unterstützt den speziellen Schlüssel (), was die beliebige Instantiierbarkeit von aufrufbaren Objekten ermöglicht. Ein Angreifer kann dies ausnutzen, um willkürliche Systembefehle während des Anwendungsstarts auszuführen. Dies ist eine kritische Remote-Code-Ausführungsanfälligkeit (RCE), die durch unsichere Verwendung von logging.config.dictConfig() mit benutzerkontrollierten Eingaben verursacht wird. Diese Schwachstelle wurde in Version 1.3.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.