CVE-2026-88980

Nome do Software Vulnerável e Versões Afetadas Kubeflow Pipelines versões anteriores a 2.18.0

Descrição A rota GET '/artifacts/get' do frontend permite o uso de source=http ou source=https com valores de bucket e key controlados pelo chamador. A função isAllowedResourceName permite hosts decimais compostos apenas por dígitos, que o analisador de URL converte em endereços IPv4. Em configurações standalone onde a autorização está desativada, chamadores não autenticados podem buscar recursos HTTP internos. Em configurações multiusuário autenticadas, locatários de baixo privilégio com identidade válida e namespace autorizado podem explorar esse defeito de validação de destino. Isso pode levar à divulgação de credenciais de nuvem se os serviços de metadados estiverem acessíveis e funções estiverem anexadas, embora não ignore o IMDSv2 (Instance Metadata Service versão 2) quando os metadados estão bloqueados.

Recomendações Atualize para a versão 2.18.0.