CVE-2026-118759

Nome do Software Vulnerável e Versões Afetadas Kubeflow Pipelines versões anteriores a 2.18.0

Description O servidor de API não autoriza os chamadores ao recuperar logs através do endpoint 'GET /apis/v1alpha1/runs/{run id}/nodes/{node id}/log'. Um invasor com acesso ao backend que conheça um run id de vítima e um node id válido pode ler logs ao vivo ou arquivados usando as permissões do servidor de API. No caso de logs ao vivo, o node id é aceito como um nome de pod sem verificar sua associação com a execução solicitada, permitindo potencialmente a leitura de logs do container principal de pods não relacionados dentro do namespace selecionado. O manipulador carece de autenticação interna, dependendo de gateways externos ou políticas de rede para controle de acesso. Isso pode levar à exposição de dados de carga de trabalho sensíveis ou credenciais.

Recommendations Atualizar para a versão 2.18.0.