В hydra-core нашли обход блоклиста PyYAML с выполнением кода

Уязвимость GHSA-wf6j-7hvr-gr93 (CVSS 7.8) в hydra-core 1.3.6–1.3.7 и 1.4.0.dev9–1.4.0rc2 позволяет выполнить произвольный код: блоклист не ограничивал пространство имён yaml., поэтому через hydra.utils.instantiate() можно вызвать yaml.unsafe_load. Исправлено в версиях 1.3.8 и 1.4.0rc3, есть proof-of-concept.

• CVSS 7.8: обход блоклиста через yaml.unsafe_load в hydra.utils.instantiate()
• Уязвимы hydra-core 1.3.6–1.3.7 и 1.4.0.dev9–1.4.0rc2
• Патч в 1.3.8 и 1.4.0rc3 блокирует yaml.*, оставляя safe_load и safe_dump
• Есть proof-of-concept, атака требует недоверенной конфигурации