CVE-2026-111170 in kedro-datasets
Tóm tắt
Bởi VulDB • 16/10/2026
kedro-datasets từ phiên bản 9.3.0 đến 9.6.0 chứa một lỗ hổng traversal đường dẫn (path traversal) trong hàm `MatplotlibDataset.save()` cho phép kẻ tấn công ghi các tệp ra ngoài thư mục dataset bằng cách cung cấp tên biểu đồ tuyệt đối. Do `validate_sub_path()` loại bỏ các dấu gạch chéo đứng đầu, trong khi việc nối của pathlib sẽ làm mất đường dẫn gốc, nên kẻ tấn công có thể tạo hoặc ghi đè lên bất kỳ tệp nào mà tiến trình này có quyền ghi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.