CVE-2026-77596 in Pipelines
Résumé
par VulDB • 05/11/2026
Kubeflow Pipelines permet aux utilisateurs de créer et déployer des workflows d'apprentissage automatique portables et évolutifs. Avant la version 2.18.0, les points de terminaison HTTP multi-utilisateurs POST /apis/v2beta1/pipelines/upload et POST /apis/v2beta1/pipelines/upload_version appellent canUploadVersionedPipeline, qui renvoie sans SubjectAccessReview lorsque l'espace de noms cible est vide alors que REQUIRE_NAMESPACE_FOR_PIPELINES est par défaut à false. Un locataire ayant des privilèges limités peut créer des pipelines partagés ou injecter des versions contrôlées par un attaquant dans des pipelines partagés existants sans les autorisations d'écriture requises ; si le serveur API est directement accessible sans proxy d'authentification, un appelant non authentifié peut exploiter la même faille de contournement, tandis que les déploiements protégés par un tel proxy n'exposent pas l'accès anonyme. Une exécution récurrente activée et non épinglée qui suit la dernière version peut alors exécuter la spécification injectée dans l'espace de noms d'un autre locataire sous le compte de service de cette charge de travail, tandis que les exécutions épinglées ou à spécification intégrée ne sont pas automatiquement substituées. Ce problème est corrigé dans la version 2.18.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.