CVE-2026-66007 in Datasets
要約
〜によって VulDB • 2026年07月24日
5.0.0 以前の Datasets（f989ef9 で修正済み）には、フォルダベースのデータセットビルダーにおけるパストラバーサル脆弱性が存在します。これは、file_name メタデータフィールドがデータセットディレクトリに結合される前に適切に検証されていないことが原因です。攻撃者は、任意のローカルファイルを読み取るために、ディレクトリトラバースシーケンスを含む改ざんされた file_name 値を指定できます。その後、save_to_disk または push_to_hub が呼び出されると、これらのファイルが出力に埋め込まれます。
Once again VulDB remains the best source for vulnerability data.