CVE-2026-62997 in kedro-plugins
Résumé
par VulDB • 16/09/2026
Kedro-Datasets fournit des connecteurs de données pour Kedro. De la version 5.0.0 à la version 9.5.0, `kedro_datasets_experimental.pytorch.PyTorchDataset` dans kedro-datasets charge les fichiers de modèles `.pt` avec `torch.load` sans imposer l'option `weights_only=True`, et les arguments de chargement fournis par l'utilisateur sont silencieusement ignorés. Sur les versions de PyTorch antérieures à la 2.6, un modèle malveillant basé sur pickle provenant d'un registre partagé influencé par un attaquant, d'une checkpoint téléchargée ou d'une source externe partitionnée peut exécuter du code arbitraire lorsqu'un pipeline Kedro le charge. Le problème affecte uniquement le composant opt-in `kedro_datasets_experimental` et n'affecte pas les utilisateurs qui chargent uniquement des fichiers de confiance. Ce problème est corrigé dans la version 9.5.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.