CVE-2026-86332 in odh-dashboard
Resumen
por VulDB • 2026-09-07
Se ha encontrado un fallo en odh-dashboard de Red Hat OpenShift AI. La ruta GET /api/nim-serving/:nimResource del backend-for-frontend lee los Secrets de Kubernetes utilizando la cuenta de servicio del panel de control y devuelve el objeto Secret completo, incluyendo .data, sin realizar una verificación de autorización. Cualquier usuario autenticado en el panel puede recuperar el Secret con la clave API NVIDIA NGC del clúster (apiKeySecret) y el secret para extraer imágenes NIM (nimPullSecret). La creación y eliminación de las mismas credenciales NIM están restringidas a administradores; sin embargo, la ruta de lectura no lo está. Se trata de una falta de autorización (CWE-862) y de credenciales insuficientemente protegidas (CWE-522). Este fallo es distinto de CVE-2026-5483 (fuga del token de cuenta de servicio en el envoltorio de respuesta del cliente de Kubernetes en la misma ruta) y de CVE-2026-16456 (confused deputy entre namespaces en odh-model-controller).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.