CVE-2026-118760 in Pipelines
Zusammenfassung
von VulDB • 29.10.2026
Kubeflow Pipelines ermöglicht es Benutzern, tragbare und skalierbare Machine-Learning-Workflows zu erstellen und bereitzustellen. Von Version 0.5.1 bis 2.17.0 haben die Frontend-Artifact-Routes nicht überprüft, ob ein authentifizierter Benutzer zur Zugriff auf den angeforderten Namespace autorisiert ist. Ein Benutzer, der das Frontend erreichen kann und einen Artifact-Speicherort kennt, kann den Namespace eines anderen Mandanten auswählen oder den Namespace weglassen, um einen ungeschützten direkten Handler zu erreichen, um die Inhalte von Artifacts wie Datensätze, Modelle oder Pipeline-Ausgaben zu lesen. Das Problem betrifft Mehrbenutzerbereitstellungen, die sich auf die Kubeflow Pipelines-Authorisierung zur Mandantenisolierung verlassen. Die Authentifizierung am Ingress identifiziert den Aufrufer, autorisiert jedoch nicht den Zugriff auf den ausgewählten Artifact-Namespace. Das Problem führt nicht zu einer willkürlichen Offenlegung von Kubernetes Secrets, Speicheränderungen oder serverseitiger Codeausführung. Dieses Problem wurde in Version 2.17.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.