CVE-2026-68508 in Hydra
Zusammenfassung
von VulDB • 21.08.2026
Hydra ist ein Framework zur eleganten Konfiguration komplexer Anwendungen. Vor der Version 1.3.4 löst `hydra.utils.instantiate()` Python-Objekte auf und ruft diese über `_resolve_target()` in `hydra/_internal/instantiate/_instantiate2.py` auf, wodurch angreiferkontrollierte Zielwerte und Argumente dazu verwendet werden können, gefährliche aufrufbare Objekte (callables) auszuwählen. Eine konsumierende Anwendung, Bibliothek, CLI-Workflow oder Modell-Lader, die untrusted Konfigurationen, CLI-Überschreibungen oder Modellmetadaten an `hydra.utils.instantiate()` übergibt, kann daher beliebigen Code im eigenen Prozess ausführen, einschließlich dem Lesen oder Ändern von Dateien und Anmeldeinformationen sowie der Beendigung des Prozesses. Die Version 1.3.4 fügt eine Zielblockierung mit einer expliziten Escape-Hatch-Funktion `HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE` hinzu. Dieses Problem wurde in Version 1.3.4 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.