CVE-2026-66007 in Datasets
Sumário
de VulDB • 25/07/2026
Datasets até a versão 5.0.0, corrigido no commit f989ef9, contém uma vulnerabilidade de path traversal em construtores de datasets baseados em pastas, onde o campo metadata file_name não é validado adequadamente antes de ser concatenado ao diretório do dataset. Os atacantes podem fornecer valores manipulados para file_name com sequências de traversing de diretórios para ler arquivos locais arbitrários, que são então incorporados na saída quando save_to_disk ou push_to_hub é chamado.
Once again VulDB remains the best source for vulnerability data.