GHSA-WF6J-7HVR-GR93

Hydra legacy target blacklist permits unsafe PyYAML loading

CVSS 3.1High

N/A/ 10.0

Опубликовано

27 октября 2026 г.

Обновлено

27 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.3.8, 1.4.0rc3

Перейти на строгий белый список вызовов (execution whitelist) Hydra 1.4+ и исключить передачу непроверенных данных в instantiate().

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Неполный устаревший черный список целей в Hydra допускает небезопасную десериализацию через PyYAML.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Передача контролируемых злоумышленником таргетов и параметров в instantiate() позволяет вызвать yaml.unsafe_load в обход legacy blacklist, так как функции опасной загрузки PyYAML не были заблокированы.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного кода (RCE) с привилегиями текущего процесса приложения при обработке вредоносных конфигураций или моделей.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 1.3.6➔Fix: 1.3.8

——

>= 1.4.0.dev9➔Fix: 1.4.0rc3

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости GHSA-WF6J-7HVR-GR93: Hydra legacy target blacklist permits unsafe PyYAML loading. URL: https://cve.futuretools.ru/cve/GHSA-WF6J-7HVR-GR93

BibTeX формат (LaTeX)

@misc{cve_futuretools_ghsa_wf6j_7hvr_gr93,
  title = {{GHSA-WF6J-7HVR-GR93: Hydra legacy target blacklist permits unsafe PyYAML loading}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-WF6J-7HVR-GR93}},
  note = {Оперативный инженерный анализ киберугроз}
}