CVE-2026-92287

Nome do Software Vulnerável e Versões Afetadas Apache C++ Parquet versões 4.0.0 through 25.0.1 PyArrow versões 4.0.0 through 25.0.1

Description URLs de KMS não validadas são passadas para clientes KMS ao ler arquivos Parquet configurados com uma implementação KmsClient. A URL do KMS pode ser controlada pela aplicação via KmsConnectionConfig ou controlada pelo arquivo. Quando o controle da aplicação não é utilizado, uma URL de KMS controlada pelo arquivo é encaminhada para uma implementação KmsClient plugável. Se a implementação não realizar a validação do host, um token KMS pode ser enviado para um host malicioso definido por um invasor no arquivo.

Recommendations Atualizar para a versão 26.0.0. Especificar a URL do KMS no KmsConnectionConfig ao ler arquivos. Garantir que as implementações de KmsClient validem as URLs de KMS recebidas.