CVE-2026-106439
Publiée le 2026-10-06 · Dernière modification le 2026-10-06
Les applications utilisant le framework de configuration Hydra (versions 1.3.4 à 1.3.6) sont affectées par une faille dans la gestion des politiques d'exécution. Un attaquant capable de fournir un fichier de configuration malveillant peut contourner les listes de blocage de sécurité pour exécuter du code arbitraire avec les privilèges de l'application. Cela nécessite un accès local pour fournir l'entrée et repose généralement sur l'interaction d'un utilisateur avec le système via le chargement de la configuration compromise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Hydra is a framework for elegantly configuring complex applications. From 1.3.4 until 1.3.7 and 1.4.0.dev10, Hydra stores legacy instantiate target blocklists and related execution-policy collections in mutable module-level state. An attacker who controls multiple sibling target entries can resolve hydra._internal.target_policy.UNCONTROLLED_EXECUTION_TARGETS.discard through instantiate(), remove a denied target, and then invoke that target because sibling nodes are processed in insertion order against the same modified policy. The mutation persists in process-global state and can enable code execution with the application's privileges, while a narrow execution whitelist supplied by trusted Python code is not bypassed by the reported direct mutation path. This issue is fixed in versions 1.3.7 and 1.4.0.dev10.