CVE-2026-35171 in kedro
要約
〜によって VulDB • 2026年07月12日
Kedroは、本番環境対応のデータサイエンス用ツールボックスです。バージョン1.3.0より前では、KEDRO_LOGGING_CONFIG環境変数を通じてログ設定ファイルのパスを設定でき、検証なしでそれが読み込まれていました。ログ設定スキーマには特殊な()キーがサポートされており、これにより任意の呼び出し可能オブジェクトをインスタンス化できます。攻撃者はこれを悪用して、アプリケーション起動時に任意のシステムコマンドを実行することができます。これは、ユーザー制御の入力とunsafeにlogging.config.dictConfig()を使用することで引き起こされる重大なリモートコード実行（RCE）脆弱性です。この脆弱性は1.3.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.