CVE-2026-118758

اسم البرنامج المصاب والإصدارات المتأثرة Kubeflow Pipelines الإصدارات السابقة لـ 2.18.0

Description يفشل معالج Artefacts الخاص بالمجلدات في تقييد مسارات الملفات التي يوفرها المستخدم ضمن المجلد المحدد. يمكن للمهاجم الذي يمكنه الوصول إلى المسار وتحديد مجلد مثبت استخدام تقنية path traversal (تخطي المسار) لقراءة ملفات خارج ذلك المجلد، بشرط أن يمتلك عملية تقديم artefacts صلاحيات القراءة اللازمة. اعتمادًا على الإعدادات، يتم تلبية الطلبات بواسطة pod الواجهة الأمامية إذا كانت خاصية proxying معطلة، أو بواسطة pod خدمة artefacts في namespace المحدد إذا كانت مفعلة. في حالات النشر التي تكون فيها المصادقة معطلة، لا يلزم وجود بيانات اعتماد؛ أما في حالات النشر متعددة المستخدمين، فيجب أن يكون المستخدم مصرحًا له بالوصول إلى namespace المحدد.

Recommendations التحديث إلى الإصدار 2.18.0. تجنب استخدام المعلمة source=volume في نقطة النهاية 'GET /artifacts/get' حتى يتم تطبيق التحديث.