CVE-2026-118758 in Pipelines
Zusammenfassung
von VulDB • 29.10.2026
Kubeflow Pipelines ermöglicht es Benutzern, tragbare und skalierbare Machine-Learning-Workflows zu erstellen und bereitzustellen. Vor Version 2.18.0 schränkte der Volume-Artefakt-Handler für GET /artifacts/get?source=volume den vom Aufrufer bereitgestellten Dateipfad nicht auf das ausgewählte Volumen ein. Ein Aufrufer, der die Route erreichen kann und ein vorhandenes gemountetes Volumen identifizieren kann, kann Path Traversal nutzen, um Dateien außerhalb dieses Volumens zu lesen, wenn der Artefakt-Bereitstellungsprozess diese lesen darf. Der Frontend-Pod bedient die Anfrage, wenn das Artefakt-Proxying deaktiviert ist; während der Artifact-Service-Pod des ausgewählten Namespace sie bedient, wenn das Proxying aktiviert ist. Eine Bereitstellung mit deaktivierter Authentifizierung erfordert keine Anwendungsanmeldeinformationen; in Multi-User-Bereitstellungen muss der Aufrufer normalerweise für den angegebenen Namespace autorisiert sein. Dieses Problem wurde in Version 2.18.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.