p PatchFirst

CVE-2026-106439

CVE-2026-106439 · Hydra: Mutable instantiate policy sets allow target blocklist bypass

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Hydra is a framework for elegantly configuring complex applications. From 1.3.4 until 1.3.7 and 1.4.0.dev10, Hydra stores legacy instantiate target blocklists and related execution-policy collections in mutable module-level state. An attacker who controls multiple sibling target entries can resolve hydra._internal.target_policy.UNCONTROLLED_EXECUTION_TARGETS.discard through instantiate(), remove a denied target, and then invoke that target because sibling nodes are processed in insertion order against the same modified policy. The mutation persists in process-global state and can enable code execution with the application's privileges, while a narrow execution whitelist supplied by trusted Python code is not bypassed by the reported direct mutation path. This issue is fixed in versions 1.3.7 and 1.4.0.dev10.

CVSS 8.5 · Élevée · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • hydra

    Versions du logiciel
    • >= 1.3.4, < 1.3.7: Concernée
    • >= 1.4.0.dev4, < 1.4.0.dev10: Concernée

    Aucun correctif publié

  • hydra-core PyPI

    Versions du logiciel
    • 1.3.4
    • 1.3.5
    • 1.3.6
    Plages de versions concernées
    • ECOSYSTEM: ≥ 1.3.4, < 1.3.7

    Mettez à jour vers 1.3.7

  • hydra-core PyPI

    Versions du logiciel
    • 1.4.0.dev4
    • 1.4.0.dev5
    • 1.4.0.dev6
    • 1.4.0.dev8
    • 1.4.0.dev9
    Plages de versions concernées
    • ECOSYSTEM: ≥ 1.4.0.dev4, < 1.4.0.dev10

    Mettez à jour vers 1.4.0.dev10

  • hydra-core PyPI

    Versions du logiciel
    • 1.3.4
    • 1.3.5
    • 1.3.6
    • 1.4.0.dev4
    • 1.4.0.dev5
    • 1.4.0.dev6
    • 1.4.0.dev8
    • 1.4.0.dev9
    Plages de versions concernées
    • ECOSYSTEM: ≥ 1.3.4, < 1.3.7 ∪ ≥ 1.4.0.dev4, < 1.4.0.dev10

    Mettez à jour vers 1.3.7; Mettez à jour vers 1.4.0.dev10

Sources originales

Vérifiez votre serveur →