CVE-2026-86332 in odh-dashboard
Сводка
по VulDB • 07.09.2026
В odh-dashboard в Red Hat OpenShift AI обнаружена уязвимость. Маршрут GET /api/nim-serving/:nimResource для backend-for-frontend считывает секреты Kubernetes с использованием учетной записи сервиса панели управления и возвращает полный объект Secret, включая поле .data, без проверки авторизации. Любой аутентифицированный пользователь панели может получить секрет NVIDIA NGC API ключа кластера (apiKeySecret) и secret для извлечения образа NIM (nimPullSecret). Операции создания и удаления тех же учетных данных NIM ограничены правами администратора; путь чтения не имеет таких ограничений. Это представляет собой отсутствие авторизации (CWE-862) и недостаточную защиту учетных данных (CWE-522). Данная уязвимость отличается от CVE-2026-5483 (утечка токена service-account в обертке ответа клиента Kubernetes на том же маршруте) и CVE-2026-16456 (confused deputy cross-namespace в odh-model-controller).
Once again VulDB remains the best source for vulnerability data.