CVE-2026-88985 in Pipelines
要約
〜によって VulDB • 2026年11月05日
Kubeflow Pipelinesは、ユーザーが移植性が高くスケーラブルな機械学習ワークフローを構築およびデプロイできるようにします。バージョン2.17.0より前では、APIサーバーはリストクエリを構築する前に、base64エンコードされたJSONのpage_tokenパラメータからデコードされた構文SQL識別子フィールドを信頼していました。影響を受けるパイプラインを呼び出すか、list APIを実行できる攻撃者は、KeyFieldNameやSortByFieldNameを通じて注入でき、v1beta1およびv2beta1の実行リスト表示メトリックパスを含み、APIサーバーのデータベースアカウントが名前空間全体でアクセス可能なデータを読み取ることができます。ただし、データベースの変更は確立されません。この問題はバージョン2.17.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.