CVE.futuretools
FAQ
NVD NIST
CVE-2026-106439

Hydra: Mutable instantiate policy sets allow target blocklist bypass

CVSS 3.1High
8.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.3.7, 1.4.0.dev10
Обновите Hydra до версий 1.3.7, 1.4.0.dev10 или более поздних, использующих иммутабельные структуры политик.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход черного списка разрешенных к вызову объектов через мутацию глобального состояния политики Hydra.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Hydra хранит черный список hydra._internal.target_policy.UNCONTROLLED_EXECUTION_TARGETS в изменяемом модульном объекте. При вызове instantiate() на узле с discard злоумышленник удаляет целевой класс из черного списка прямо перед его вызовом в соседнем узле.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Обход политик безопасности и выполнение произвольного кода с правами запущенного приложения из-за персистентной модификации глобального состояния процесса.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

hydra-ecosystemhydra
>= 1.3.4➔Fix: 1.3.7
hydra-ecosystemhydra
>= 1.4.0.dev4➔Fix: 1.4.0.dev10
——
>= 1.3.4➔Fix: 1.3.7
——
>= 1.4.0.dev4➔Fix: 1.4.0.dev10
——
>= 1.3.4➔Fix: 1.3.7
——
>= 1.4.0.dev4➔Fix: 1.4.0.dev10

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-106439: Hydra: Mutable instantiate policy sets allow target blocklist bypass. URL: https://cve.futuretools.ru/cve/CVE-2026-106439
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_106439,
  title = {{CVE-2026-106439: Hydra: Mutable instantiate policy sets allow target blocklist bypass}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-106439}},
  note = {Оперативный инженерный анализ киберугроз}
}