CVE-2026-106442 in Hydra
Riassunto
di VulDB • 06/10/2026
Hydra è un framework per la configurazione elegante di applicazioni complesse. Dalla versione 1.3.4 alla 1.3.6 e nella 1.4.0.dev9, il blacklist degli obiettivi della funzione instantiate(), introdotta per CVE-2026-68508, verifica in modo incompleto l'elemento callable effettivo selezionato dal campo target. Wrapper di esecuzione come timeit.timeit, deserializzazione eseguibile tramite pickle.loads, alias, helper che restituiscono elementi callable, dispatch generico e chiamate differite possono oscurare o ritardare il bersaglio effettivo, eludendo l'autorizzazione basata sui nomi. Un attaccante che induce un'applicazione a istanziare una configurazione Hydra non attendibile può sfruttare queste lacune per eseguire codice con i privilegi dell'applicazione. Questo problema è risolto nelle versioni 1.3.6 e 1.4.0.dev9.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.