CVE-2026-111170 in kedro-datasets
要約
〜によって VulDB • 2026年10月15日
9.3.0から9.6.0までのkedro-datasetsには、MatplotlibDataset.save()におけるパストラバーサルの脆弱性が存在し、攻撃者は絶対的なプロット名を指定することでデータセットディレクトリ外のファイルの書き込みが可能になる。validate_sub_path()が先頭のスラッシュを取り除く一方でpathlib.joinはベースパスを破棄するため、攻撃者はプロセスが書き込み可能な任意の場所にファイルを作成または上書きできる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.