CVE-2026-92393 in YuniKorn
الملخص
بحسب VulDB • 07/10/2026
لا يطبق Apache YuniKorn الإصدار 1.9.0 وما قبله فحوصات التسميات (labels) وبيانات التعريف الخاصة بالمستخدم (user annotations) عند إجراء عملية تحديث (UPDATE) للأحمال العملية، مما يتجاوز جميع الفحوصات الأمنية. تُعرّف الأحمال العملية في YuniKorn على أنها كائنات Kubernetes التالية: "deployments"، "replicasets"، "statefulsets"، "daemonsets"، "jobs"، و"cronjobs". وتنفذ عملية الإنشاء (CREATE) فرضاً صحيحاً للفحوصات لجميع أنواع الكائنات.
يتيح هذا التجاوز لأي مستخدم تحديد بيانات تعريف لمعلومات المستخدم بشكل تعسفي. ويتيح نفس الثغرة أيضاً تغيير معرّف التطبيق الخاص بالحمل العملية. وقد يسمح الجمع بين هذين العاملين عند تطبيقهما في عملية تحديث واحدة بالوصول إلى طابور (queue) لا ينبغي أن يكون للمستخدم حق الوصول إليه عادةً. قد يتأثر استخدام الحصة المخصصة للطابور إذا كان التطبيق يعمل في الطابور غير الصحيح. كما يعتمد فرض الحصة المستندة إلى المستخدم على بيانات تعريف المستخدم، ويمكن تجاوز تتبع حصة المستخدم حتى لو كان التطبيق يعمل في الطابور الصحيح.
يُوصى للمستخدمين بالترقية إلى الإصدار 1.10.0 الذي يصلح هذه المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.