CVE-2026-86332 in odh-dashboard
Zusammenfassung
von VulDB • 07.09.2026
Es wurde ein Fehler im odh-dashboard von Red Hat OpenShift AI gefunden. Der Backend-for-Frontend-Routen-Endpunkt GET /api/nim-serving/:nimResource liest Kubernetes Secrets unter Verwendung des Dashboard-Dienstkontos aus und gibt das vollständige Secret-Objekt, einschließlich .data, ohne eine Autorisierungsprüfung zurück. Jeder authentifizierte Dashboard-Benutzer kann das Cluster-NVIDIA-NGC-API-Schlüssel-Secret (apiKeySecret) sowie das NIM Image-Pull-Secret (nimPullSecret) abrufen. Das Erstellen und Löschen derselben NIM-Anmeldeinformationen ist auf Administratoren beschränkt; der Lesezugriff ist dies nicht. Dies stellt einen fehlenden Autorisierungsmechanismus (CWE-862) sowie unzureichend geschützte Anmeldeinformationen (CWE-522) dar. Dieser Fehler unterscheidet sich von CVE-2026-5483 (Leckage des service-account-Tokens im Kubernetes-Client-Antwortwrapper auf derselben Route) und CVE-2026-16456 (odh-model-controller Cross-Namespace Confused Deputy).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.