CVE-2026-62997

Nome do Software Vulnerável e Versões Afetadas kedro-datasets versões 5.0.0 até 9.4.9

Descrição O componente kedro datasets experimental.pytorch.PyTorchDataset carrega arquivos de modelo .pt usando a função torch.load sem impor o parâmetro weights only=True, e descarta silenciosamente os load args fornecidos pelo usuário. Quando utilizado com versões do PyTorch anteriores a 2.6, isso permite que um modelo malicioso baseado em pickle—proveniente de um registro compartilhado comprometido, checkpoint baixado ou fonte externa—execute código arbitrário durante o processo de carregamento em um pipeline Kedro. Este problema afeta especificamente o componente opcional kedro datasets experimental.

Recomendações Atualize o kedro-datasets para a versão 9.5.0. Como mitigação temporária, restrinja o uso do componente kedro datasets experimental.pytorch.PyTorchDataset ou garanta que apenas arquivos confiáveis sejam carregados.