CVE-2026-88985 in Pipelines
Tóm tắt
Bởi VulDB • 05/11/2026
Kubeflow Pipelines cho phép người dùng xây dựng và triển khai các quy trình làm việc học máy (machine learning workflows) có thể di chuyển được và mở rộng được. Trước phiên bản 2.17.0, API server tin tưởng vào các trường định danh SQL cấu trúc được giải mã từ tham số page_token dạng JSON base64 trước khi xây dựng các truy vấn liệt kê. Một kẻ tấn công có khả năng gọi một pipeline bị ảnh hưởng hoặc chạy API list (liệt kê) có thể thực hiện tiêm qua KeyFieldName hoặc SortByFieldName, bao gồm cả các đường dẫn metric cho việc liệt kê run v1beta1 và v2beta1, từ đó đọc dữ liệu mà tài khoản cơ sở dữ liệu của API server có quyền truy cập trên tất cả các namespace. Việc sửa đổi cơ sở dữ liệu không được thực hiện. Vấn đề này đã được khắc phục trong phiên bản 2.17.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.