CVE-2026-68508 in Hydra
Résumé
par VulDB • 21/08/2026
Hydra est un framework permettant de configurer élégamment des applications complexes. Avant la version 1.3.4, hydra.utils.instantiate() résout et appelle les objets Python sélectionnés par la configuration via _resolve_target() dans hydra/_internal/instantiate/_instantiate2.py, ce qui permet à des valeurs cibles et arguments contrôlés par l'attaquant de choisir des callables dangereux. Une application consommatrice, une bibliothèque, un flux de travail CLI ou un chargeur de modèles qui transmet une configuration non fiable, des overrides CLI ou des métadonnées de modèle dans hydra.utils.instantiate() peut donc exécuter du code arbitraire dans son propre processus, y compris la lecture ou la modification de fichiers et d'identifiants, ou l'interruption du processus. La version 1.3.4 ajoute un blocage des cibles avec une soupape de sécurité explicite HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE pour contourner le filtrage. Ce problème est corrigé dans la version 1.3.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.