CVE-2026-88981 in Pipelines
Riassunto
di VulDB • 05/11/2026
Kubeflow Pipelines consente agli utenti di creare e distribuire flussi di lavoro per il machine learning portatili e scalabili. Prima della versione 2.18.0, il percorso di download degli artifact del frontend per source=s3 o source=minio accetta providerInfo.Params.endpoint, e il percorso archiviato dei log del pod accetta metadati dell'endpoint compatibili con S3 dallo stato del workflow, senza richiedere che tali endpoint corrispondano alla configurazione dello storage controllata dall'operatore. Nella configurazione standalone in distribuzione con autorizzazione disabilitata, un chiamante non autenticato può far sì che il pod condiviso ml-pipeline-ui si connetta a host arbitrari raggiungibili e restituisca i dati di risposta; le richieste possono anche rivelare un identificativo della access-key quando firmate con credenziali dello storage degli oggetti configurate. I metadati supportati da secret per gli utenti multipli rimangono limitati al namespace del server. Questo problema è risolto nella versione 2.18.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.