CVE-2026-3840

Nome do Software Vulnerável e Versões Afetadas Kedro versão 1.2.0

Descrição Um problema permite a travessia de caminho (path traversal) quando uma string de versão manipulada é fornecida. O método get versioned path() em kedro/io/core.py interpola strings de versão fornecidas pelo usuário em caminhos do sistema de arquivos sem sanitização, permitindo o acesso a arquivos fora do diretório de conjunto de dados versionado pretendido. Isso também é acessível através da CLI via o parâmetro --load-versions, pois o método split load versions() em kedro/framework/cli/utils.py não valida a string de versão. Isso pode levar a leituras de arquivos não autorizadas, envenenamento de dados e acesso a dados entre projetos ou locatários.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.