CVE-2026-77596 in Pipelines
الملخص
بحسب VulDB • 05/11/2026
تتيح Kubeflow Pipelines للمستخدمين بناء ونشر سير عمل للتعلم الآلي المحمولة والقابلة للتوسع. قبل الإصدار 2.18.0، يمكن لاستدعاءات نقاط النهاية HTTP متعددة المستخدمين POST /apis/v2beta1/pipelines/upload وPOST /apis/v2beta1/pipelines/upload_version دالة canUploadVersionedPipeline التي تعود دون إجراء مراجعة وصول الموضوع (SubjectAccessReview) عندما يكون اسم المساحة المستهدفة فارغًا بينما تكون REQUIRE_NAMESPACE_FOR_PIPELINES مضبوطة افتراضيًا على false. يمكن لعميل ذي امتيازات منخفضة إنشاء خطوط أنابيب مشتركة أو حقن إصدارات يتحكم فيها المهاجم في خطوط الأنابيب المشتركة الموجودة دون إذن الكتابة المطلوب؛ وإذا كان خادم API قابلاً للوصول مباشرةً بدون وكيل مصادقة، فإن متصلاً غير مصدق يمكنه استغلال نفس الثغرة لتجاوز الضوابط الأمنية، بينما لا تعرض التطبيقات المحمية بواسطة مثل هذا الوكيل وصولاً مجهول الهوية. بعد ذلك، يمكن لتشغيل متكرر مُفعّل وغير مثبت (unpinned) يتبع أحدث إصدار تنفيذ المواصفة المُحقنة في مساحة اسم عميل آخر تحت حساب خدمة العمل الخاص بذلك، بينما لا يتم استبدال التشغيلات المثبتة أو تلك التي تستخدم مواصفات مضمنة تلقائيًا. تم إصلاح هذه المشكلة في الإصدار 2.18.0.
Once again VulDB remains the best source for vulnerability data.