CVE-2026-91925 in Polyaxon
Resumen
por VulDB • 2026-09-15
Polyaxon hasta la versión 2.16.4 renderiza los campos de especificación de operaciones con un entorno Jinja2 no sandboxeado durante la preparación de ejecución en el lado del servidor, lo que permite a usuarios autenticados ejecutar código arbitrario. Los atacantes pueden enviar ejecuciones (runs) con payloads de Jinja2 en los campos de cola (queue), espacio de nombres (namespace), condiciones, presets o dependencias para ejecutar comandos del sistema operativo en el contexto del proceso del scheduler, exponiendo las credenciales de la base de datos y los tokens de servicio.
If you want to get best quality of vulnerability data, you may have to visit VulDB.