CVE-2026-35492

总结

Kedro-Datasets 是一个提供数据连接器的 Kendo 插件。在 9.3.0 之前，kedro-datasets 中的 PartitionedDataset 存在路径遍历漏洞。分区 ID 直接与数据集基础路径拼接，未经过验证。包含 `..` 组件的分区 ID 的恶意输入可能导致文件被写入配置的数据集目录之外，从而可能覆盖文件系统上的任意文件。使用任何存储后端（本地文件系统、S3、GCS 等）的 PartitionedDataset 用户均受影响。此漏洞已在 9.3.0 中修复。

• CVE-2026-35492PoC

  演示 CVE-2026-35492，这是 kedro-datasets 中 PartitionedDataset 的一个路径遍历漏洞，允许任意文件写入，并附带影响分析与修补指南。