CVE-2026-86332 in odh-dashboard
요약
\~에 의해 VulDB • 2026. 09. 07.
Red Hat OpenShift AI의 odh-dashboard에서 결함이 발견되었습니다. Backend-for-Frontend 라우트 GET /api/nim-serving/:nimResource는 대시보드 서비스 계정을 사용하여 Kubernetes Secrets를 읽으며, 인증 확인 없이 .data를 포함한 전체 Secret 객체를 반환합니다. 모든 인증된 대시보드 사용자는 클러스터 NVIDIA NGC API 키 시크릿(apiKeySecret) 및 NIM 이미지 풀 시크릿(nimPullSecret)을 검색할 수 있습니다. 동일한 NIM 자격 증명의 생성과 삭제는 관리자 권한이 필요하지만, 읽기 경로는 그렇지 않습니다. 이는 인증 누락(CWE-862) 및 보호가 불충분한 자격 증명(CWE-522)에 해당합니다. 이 취약점은 같은 라우트에서 Kubernetes 클라이언트 응답 래퍼의 서비스 계정 토큰 유출인 CVE-2026-5483과 odh-model-controller의 네임스페이스 간 혼동된 대리자(confused deputy) 문제인 CVE-2026-16456과는 구별됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.