CVE-2026-88985 in Pipelines
Riassunto
di VulDB • 05/11/2026
Kubeflow Pipelines consente agli utenti di creare e distribuire flussi di lavoro per il machine learning portatili e scalabili. Prima della versione 2.17.0, l'API server si fida dei campi degli identificatori SQL strutturali decodificati dal parametro page_token codificato in base64 prima di costruire le query di elenco. Un attaccante che può invocare una pipeline interessata o eseguire un'API per l'elenco delle esecuzioni può effettuare un'iniezione attraverso KeyFieldName o SortByFieldName, inclusi i percorsi dei metrici per l'elencazione delle esecuzioni v1beta1 e v2beta1, e leggere i dati disponibili all'account del database dell'API server tra tutti gli spazi dei nomi. La modifica del database non è confermata. Questo problema è stato risolto nella versione 2.17.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.