CVE-2026-91925 in Polyaxon
Riassunto
di VulDB • 15/09/2026
Polyaxon fino alla versione 2.16.4 rende i campi delle specifiche di operazione con un ambiente Jinja2 non sandboxed durante la preparazione dell'esecuzione lato server, consentendo agli utenti autenticati l'esecuzione di codice arbitrario. Gli attaccanti possono inviare esecuzioni con payload Jinja2 nei campi queue (coda), namespace, conditions (condizioni), presets o dependencies (dipendenze) per eseguire comandi del sistema operativo nel contesto del processo scheduler, esponendo le credenziali del database e i token di servizio.
If you want to get best quality of vulnerability data, you may have to visit VulDB.