CVE-2026-106440

Nome do Software Vulnerável e Versões Afetadas hydra-optuna-sweeper versões 1.2.0 até 1.3.0 hydra-optuna-sweeper versões 1.4.0.dev1 até 1.4.0.dev9

Description O pacote hydra-optuna-sweeper aceita um caminho pontilhado controlado por configuração em hydra.sweeper.custom search space, que é resolvido usando a função hydra.utils.get method() e posteriormente invocado no processo controlador do Hydra. Como o get method() é um auxiliar de busca de entrada confiável que não aplica a política de execução usada pelo instantiate(), um invasor que controle a configuração de varredura do Optuna ou as substituições de linha de comando pode executar código Python importável com os privilégios da aplicação. Isso pode levar à violação de uma lista branca de execução confiável em versões de desenvolvimento do Hydra 1.4 afetadas.

Recommendations Atualizar para a versão 1.3.0. Atualizar para a versão 1.4.0.dev10.