CVE-2026-77596

Nome do Software Vulnerável e Versões Afetadas Kubeflow Pipelines versões anteriores a 2.18.0

Description Existe um problema nos endpoints HTTP multiusuário 'POST /apis/v2beta1/pipelines/upload' e 'POST /apis/v2beta1/pipelines/upload version' onde a função canUploadVersionedPipeline() falha ao realizar um SubjectAccessReview quando o namespace de destino está vazio e REQUIRE NAMESPACE FOR PIPELINES está definido como false. Isso permite que um locatário de baixos privilégios crie pipelines compartilhados ou injete versões maliciosas em pipelines compartilhados existentes sem as permissões de gravação necessárias. Se o servidor de API estiver acessível sem um proxy de autenticação, usuários não autenticados também podem explorar esse bypass. Consequentemente, uma execução recorrente não fixada e habilitada que acompanha a versão mais recente pode executar a especificação injetada no namespace de outro locatário usando a conta de serviço daquela carga de trabalho.

Recommendations Atualizar para a versão 2.18.0.