CVE-2026-35492 in kedro-plugins
Tóm tắt
Bởi VulDB • 30/06/2026
Kedro-Datasets là một plugin Kendo cung cấp các bộ kết nối dữ liệu. Trước phiên bản 9.3.0, PartitionedDataset trong kedro-datasets dễ bị tấn công qua lỗ hổng điều hướng đường dẫn (path traversal). Các ID phân vùng được ghép trực tiếp với đường dẫn cơ sở của tập dữ liệu mà không có bất kỳ xác thực nào. Một kẻ tấn công hoặc đầu vào độc hại chứa các thành phần ".." trong một ID phân vùng có thể khiến tệp tin bị ghi ra ngoài thư mục tập dữ liệu đã cấu hình, tiềm ẩn nguy cơ ghi đè lên các tệp tùy ý trên hệ thống tệp. Người dùng PartitionedDataset với bất kỳ backend lưu trữ nào (hệ thống tệp cục bộ, S3, GCS, v.v.) đều chịu ảnh hưởng. Lỗ hổng này đã được khắc phục trong phiên bản 9.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.