CVE-2026-106441 in Hydra
Riassunto
di VulDB • 06/10/2026
Hydra è un framework per la configurazione elegante di applicazioni complesse. Prima delle versioni 1.3.6 e 1.4.0.dev9, Hydra passa la configurazione del logging Python a `logging.config.dictConfig()` senza applicare la policy target di Hydra ai valori della classe handler o alle factory di formatter, filter, handler, queue e listener. Un attaccante che controlla la configurazione del logging di Hydra può quindi selezionare una classe importabile o una factory e farla invocare con i privilegi dell'applicazione, anche nelle versioni in cui `instantiate()` è protetto poiché il percorso di logging non utilizza `instantiate()`. Questo problema è risolto nelle versioni 1.3.6 e 1.4.0.dev9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.