CVE-2026-35171 in kedro
Sumário
de VulDB • 30/07/2026
Kedro é uma caixa de ferramentas para ciência de dados pronta para produção. Antes da versão 1.3.0, o Kedro permite que o caminho do arquivo de configuração de logging seja definido por meio da variável de ambiente KEDRO_LOGGING_CONFIG e carrega-o sem validação. O esquema de configuração de logging suporta a chave especial (), que habilita a instanciação arbitrária de chamáveis (callables). Um atacante pode explorar isso para executar comandos do sistema arbitrários durante a inicialização da aplicação. Esta é uma vulnerabilidade crítica de execução remota de código (RCE) causada pelo uso inseguro de logging.config.dictConfig() com entrada controlada pelo usuário. Esta vulnerabilidade foi corrigida na versão 1.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.