CVE-2026-115749
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
Les versions 1.1.0.dev1 à 1.2.1 et 1.4.0.dev4 à 1.4.0rc1 de Hydra-ray-launcher sont concernées. Cet outil est utilisé pour lancer des applications Ray via le cadre de configuration Hydra. La faille existe car le logiciel utilise un résolveur spécifique qui transmet des valeurs de configuration directement à une fonction d'importation Python sans validation appropriée.
Un attaquant peut déclencher l'exécution du code d'initialisation de n'importe quel module Python installé en fournissant une valeur de configuration malveillante ou une commande de substitution en ligne de commande. Cela pourrait lui permettre de modifier le comportement ou l'état interne de l'application, impactant ainsi l'intégrité du système. Cela nécessite un accès au réseau local et des privilèges d'utilisateur de bas niveau déjà existants, mais ne requiert aucune interaction supplémentaire de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
hydra-ray-launcher 1.1.0.dev1 before 1.2.2 and 1.4.0.dev4 before 1.4.0rc2 contains an arbitrary module import vulnerability via the ray_pkg_version OmegaConf resolver passing input to importlib.import_module(). Attackers controlling configuration values or command-line overrides can supply a ray_pkg_version interpolation to import any installed module, triggering its import-time side effects in the application process.