CVE-2026-86332 in odh-dashboard
Riassunto
di VulDB • 07/09/2026
È stata rilevata una vulnerabilità in odh-dashboard di Red Hat OpenShift AI. Il backend-for-frontend, tramite la rotta GET /api/nim-serving/:nimResource, legge i Kubernetes Secrets utilizzando l'account di servizio della dashboard e restituisce l'intero oggetto Secret, inclusi i campi .data, senza effettuare alcun controllo di autorizzazione. Qualsiasi utente autenticato alla dashboard può recuperare il Secret contenente la chiave API NVIDIA NGC del cluster (apiKeySecret) e il secret per il pull dell'immagine NIM (nimPullSecret). Le operazioni di creazione ed eliminazione delle stesse credenziali NIM sono riservate agli amministratori; il percorso di lettura non lo è. Si tratta di una mancanza di autorizzazione (CWE-862) e di credenzialmente insufficientemente protette (CWE-522). La vulnerabilità è distinta da CVE-2026-5483 (perdita del token dell'account di servizio nel wrapper della risposta del client Kubernetes sulla stessa rotta) e da CVE-2026-16456 (confused deputy cross-namespace in odh-model-controller).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.