CVE-2026-118758

Nome do Software Vulnerável e Versões Afetadas Kubeflow Pipelines versões anteriores a 2.18.0

Description O manipulador de artefatos de volume não confina adequadamente os caminhos de arquivo fornecidos pelo usuário ao volume selecionado. Um invasor com acesso à rota e conhecimento de um volume montado pode utilizar a técnica de path traversal para ler arquivos fora do volume pretendido, desde que o processo de serviço de artefatos possua as permissões de leitura necessárias. Dependendo da configuração, as solicitações são atendidas pelo pod de frontend se o proxy de artefatos estiver desativado, ou pelo pod do artifact-service do namespace selecionado se o proxy estiver ativado. Em implantações onde a autenticação está desativada, não são necessárias credenciais; caso contrário, o solicitante deve estar autorizado para o namespace especificado.

Recommendations Atualize para a versão 2.18.0. Evite usar o parâmetro source=volume no endpoint 'GET /artifacts/get' até que a atualização seja aplicada.