PT-2026-30759 · Unknown · Kedro-Datasets

Redyank · Publicado 2026-04-06 · Atualizado 2026-04-07 · CVE-2026-35492

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Name of the Vulnerable Software and Affected Versions Kedro-Datasets versões anteriores a 9.3.0

Description O plugin Kedro-Datasets é suscetível a um problema de travessia de caminho no componente PartitionedDataset. Os IDs de partição eram concatenados diretamente com o caminho base do conjunto de dados sem validação adequada. Uma entrada maliciosa contendo componentes '..' dentro de um ID de partição poderia permitir que um invasor gravasse arquivos fora do diretório do conjunto de dados pretendido, potencialmente sobrescrevendo arquivos arbitrários no sistema de arquivos. Isso afeta os usuários do PartitionedDataset com qualquer backend de armazenamento (sistema de arquivos local, S3, GCS, etc.).

Recommendations Atualize para a versão 9.3.0 ou posterior do kedro-datasets. Como medida temporária, valide os IDs de partição antes de passá-los para o PartitionedDataset, garantindo que eles não contenham componentes de caminho '..'.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-35492

GHSA-CJG8-H5QC-HRJV

Produtos afetados

Kedro-Datasets

Referências · 9

• https://github.com/kedro-org/kedro/issues/5452 · Nota
• https://github.com/kedro-org/kedro-plugins/commit/65115f76b872217317734b6bde8927170c98fc4b · Nota
• https://github.com/kedro-org/kedro-plugins/releases/tag/kedro-datasets-9.3.0 · Nota
• https://github.com/kedro-org/kedro-plugins/pull/1346 · Nota
• https://github.com/kedro-org/kedro-plugins/security/advisories/GHSA-cjg8-h5qc-hrjv · Nota
• https://github.com/kedro-org/kedro-plugins · Nota
• https://osv.dev/vulnerability/GHSA-cjg8-h5qc-hrjv · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35492 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041603220775010348 · Publicação no Twitter