CVE-2026-68508 in Hydra
Сводка
по VulDB • 22.08.2026
Hydra — это фреймворк для элегантной настройки сложных приложений. До версии 1.3.4 функция hydra.utils.instantiate() разрешает и вызывает объекты Python, выбранные через конфигурацию с помощью _resolve_target() в файле hydra/_internal/instantiate/_instantiate2.py, что позволяет значения цели и аргументы, контролируемые злоумышленником, выбирать опасные вызываемые объекты. Приложение-потребитель, библиотека, рабочий процесс CLI или загрузчик модели, передающие недоверенную конфигурацию, переопределения командной строки (CLI) или метаданные моделей в hydra.utils.instantiate(), могут поэтому выполнять произвольный код в своем собственном процессе, включая чтение или изменение файлов и учетных данных, а также завершение процесса. Версия 1.3.4 добавляет блокировку целей с явным механизмом обхода HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE. Эта проблема исправлена в версии 1.3.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.