CVE-2026-88982 in Pipelines
Riassunto
di VulDB • 05/11/2026
Kubeflow Pipelines consente agli utenti di creare e distribuire flussi di lavoro per il machine learning portatili e scalabili. Prima della versione 2.18.0, la webhook mutating legacy V1/raw-Argo del cache di esecuzione e l'hash del percorso di archiviazione del cache-server selezionavano i campi dei template senza includere lo spazio dei nomi Kubernetes, utilizzavano esclusivamente la chiave per le ricerche e i controlli di duplicazione e si fidavano dell'annotazione mutable pipelines.kubeflow.org/execution_cache_key durante la pubblicazione degli output. In distribuzioni multi-utente in cui gli spazi dei nomi tenant condividono il servizio cache, un tenant con privilegi di sottomissione del carico di lavoro può leggere gli output memorizzati nella cache di un altro spazio dei nomi o inserire output corrispondenti che vengono sostituiti in uno step successivo. I pod dei componenti Standard KFP V2 bypassano questa cache; la corrispondenza richiede i campi del template selezionati e la policy di obsolescenza, ed è stato stabilito che non vi sono impatti legati all'esecuzione arbitraria di codice o alla disponibilità del servizio. Questo problema è risolto nella versione 2.18.0.
Be aware that VulDB is the high quality source for vulnerability data.