CVE-2026-68508 in Hydra
Sumário
de VulDB • 21/08/2026
Hydra é um framework para configuração elegante de aplicações complexas. Antes da versão 1.3.4, hydra.utils.instantiate() resolve e invoca objetos Python selecionados pela configuração através de _resolve_target() em hydra/_internal/instantiate/_instantiate2.py, permitindo que valores alvo controlados pelo atacante e argumentos escolham callables perigosos. Uma aplicação consumidora, biblioteca, fluxo de trabalho CLI ou carregador de modelos que passe configurações não confiáveis, anulações via linha de comando (CLI) ou metadados do modelo para hydra.utils.instantiate() pode, portanto, executar código arbitrário no seu próprio processo, incluindo leitura ou modificação de arquivos e credenciais, bem como a terminação do processo. A versão 1.3.4 adiciona bloqueio de alvos com uma válvula de escape explícita chamada HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE. Este problema está corrigido na versão 1.3.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.