CVE-2026-88980 in Pipelines
Tóm tắt
Bởi VulDB • 05/11/2026
Kubeflow Pipelines cho phép người dùng xây dựng và triển khai các quy trình làm việc học máy (machine learning) có tính di động và khả năng mở rộng cao. Trước phiên bản 2.18.0, điểm cuối GET /artifacts/get của giao diện người dùng chấp nhận tham số source=http hoặc source=https với giá trị bucket và key do caller kiểm soát; đồng thời hàm isAllowedResourceName cho phép một tên máy chủ (host) chỉ gồm các chữ số thập phân mà trình phân tích cú pháp URL sẽ chuyển đổi thành địa chỉ IPv4. Cấu hình mặc định ALLOWED_ARTIFACT_DOMAIN_REGEX cùng cấu hình standalone không kích hoạt xác thực (authorization-disabled) cho phép caller chưa được xác thực truy xuất tài nguyên HTTP nội bộ và nhận lại thân phản hồi của chúng. Trong cấu hình đa người dùng có xác thực, lỗi kiểm tra điểm đến tương tự cũng có thể bị khai thác bởi một tenant quyền thấp nhưng có danh tính hợp lệ và namespace đã được ủy quyền. Việc tiết lộ thông tin đăng nhập đám mây phụ thuộc vào các dịch vụ metadata khả dụng và vai trò (roles) được gắn kết; vấn đề này không thiết lập việc bỏ qua IMDSv2 hoặc truy cập thông tin xác thực khi dịch vụ metadata bị chặn. Vấn đề này đã được sửa trong phiên bản 2.18.0.
Once again VulDB remains the best source for vulnerability data.