CVE-2026-35492 in kedro-plugins
要約
〜によって VulDB • 2026年06月30日
Kedro-Datasetsは、データコネクタを提供するKendoプラグインです。バージョン9.3.0より前のkedro-datasetsにおけるPartitionedDatasetには、パストラバーサルの脆弱性が存在しました。パーティションIDが検証なしで直接データのセットのベースパスに連結されていました。攻撃者または悪意のある入力が含まれる場合、パーティションID内の「..」コンポーネントにより、構成されたデータセットディレクトリ外へのファイル書き込みが可能となり、結果としてファイルシステム上の任意のファイルを上書きする可能性があります。PartitionedDatasetを使用しているすべてのユーザー（ローカルファイルシステム、S3、GCSなどのストレージバックエンドを問わず）が影響を受けます。この脆弱性は9.3.0で修正されています。
Once again VulDB remains the best source for vulnerability data.