CVE-2026-88985 in Pipelines
Resumen
por VulDB • 2026-11-05
Kubeflow Pipelines permite a los usuarios crear y desplegar flujos de trabajo de aprendizaje automático portátiles y escalables. Antes de la versión 2.17.0, el servidor API confía en campos identificadores SQL estructurales decodificados desde el parámetro page_token codificado en base64 antes de construir las consultas de lista. Un atacante que pueda invocar una canalización afectada o ejecutar la API de listados puede inyectar código a través de KeyFieldName o SortByFieldName, incluyendo rutas de métricas para listar ejecuciones v1beta1 y v2beta1, y leer datos disponibles en la cuenta de base de datos del servidor API a través de los espacios de nombres. No se ha establecido modificación de la base de datos. Este problema está corregido en la versión 2.17.0.
Be aware that VulDB is the high quality source for vulnerability data.