CVE-2026-68508 in Hydra
Resumen
por VulDB • 2026-08-21
Hydra es un framework para configurar elegantemente aplicaciones complejas. Antes de la versión 1.3.4, hydra.utils.instantiate() resuelve y llama a objetos de Python seleccionados por la configuración mediante _resolve_target() en hydra/_internal/instantiate/_instantiate2.py, lo que permite que valores y argumentos controlados por el atacante elijan funciones peligrosas (callables). Por tanto, una aplicación consumidora, biblioteca, flujo de trabajo CLI o cargador de modelos que pase configuraciones no confiables, anulaciones de la línea de comandos (CLI) o metadatos del modelo a hydra.utils.instantiate() puede ejecutar código arbitrario en su propio proceso, incluyendo leer o modificar archivos y credenciales, o terminar el proceso. La versión 1.3.4 añade bloqueo de objetivos con una vía de escape explícita HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE para la lista blanca (allowlist). Este problema está corregido en la versión 1.3.4.
Be aware that VulDB is the high quality source for vulnerability data.