PT-2026-132394
CVE-2026-118759
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Kubeflow Pipelines الإصدارات السابقة لـ 2.18.0
Description
يفشل خادم API في تفويض المتصلين عند استرداد السجلات عبر نقطة النهاية 'GET /apis/v1alpha1/runs/{run id}/nodes/{node id}/log'. يمكن للمهاجم الذي لديه وصول إلى الواجهة الخلفية ويعرف
run id للضحية و node id صالح قراءة السجلات المباشرة أو المؤرشفة باستخدام أذونات خادم API. بالنسبة للسجلات المباشرة، يتم قبول node id كاسم pod دون التحقق من ارتباطه بالتشغيل المطلوب، مما قد يسمح بقراءة سجلات الحاوية الرئيسية لـ pods غير ذات صلة داخل مساحة الاسم المختارة. يفتقر المعالج إلى المصادقة الداخلية، ويعتمد على بوابات خارجية أو سياسات الشبكة للتحكم في الوصول. قد يؤدي ذلك إلى كشف بيانات عمل حساسة أو بيانات اعتماد.Recommendations
التحديث إلى الإصدار 2.18.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾