CVE-2026-86332 in odh-dashboard
الملخص
بحسب VulDB • 07/09/2026
تم العثور على عيب في odh-dashboard ضمن Red Hat OpenShift AI. يقوم مسار GET /api/nim-serving/:nimResource الخاص بـ backend-for-frontend بقراءة أسرار Kubernetes باستخدام حساب خدمة لوحة التحكم وإرجاع كائن السر الكامل، بما في ذلك .data، دون إجراء فحص تفويض (authorization check). يمكن لأي مستخدم مرخص للوحة التحكم استرداد سر مفتاح NVIDIA NGC API للمجموعة (apiKeySecret) وسر سحب صورة NIM (nimPullSecret). عمليات إنشاء وحذف نفس بيانات اعتماد NIM مقيدة بالمسؤولية الإدارية؛ بينما مسار القراءة غير مقيد. يُعد هذا نقصاً في التفويض (CWE-862) وبيانات اعتماد محمية بشكل غير كافٍ (CWE-522). وهو يختلف عن CVE-2026-5483 (تسرب رمز حساب الخدمة في غلاف استجابة عميل Kubernetes على نفس المسار) وCVE-2026-16456 (هجوم deputy مشوش عبر النطاقات في odh-model-controller).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.