CVE-2026-68508
Publiée le 2026-08-21 · Dernière modification le 2026-10-12
Les applications utilisant le framework de configuration Hydra dans une version antérieure à la 1.3.4 sont vulnérables à l'exécution de code à distance si elles traitent des fichiers de configuration ou des paramètres CLI non approuvés. Un attaquant peut exécuter des commandes arbitraires sur votre serveur, potentiellement pour voler des identifiants ou modifier des fichiers, en incitant le système à appeler des fonctions Python dangereuses. Cela nécessite que l'attaquant soit en mesure de fournir un fichier de configuration ou une entrée malveillante que l'application charge et traite ensuite.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Hydra is a framework for elegantly configuring complex applications. Prior to 1.3.4, hydra.utils.instantiate() resolves and calls Python objects selected by configuration through _resolve_target() in hydra/_internal/instantiate/_instantiate2.py, allowing attacker-controlled target values and arguments to choose dangerous callables. A consuming application, library, CLI workflow, or model loader that passes untrusted configuration, CLI overrides, or model metadata into hydra.utils.instantiate() can therefore execute arbitrary code in its own process, including reading or modifying files and credentials or terminating the process. Version 1.3.4 adds target blocking with an explicit HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE escape hatch. This issue is fixed in version 1.3.4.