CVE-2026-50240

Nome do Software Vulnerável e Versões Afetadas OpenShift Pipelines-as-Code (versões afetadas não especificadas)

Description O OpenShift Pipelines-as-Code (PAC) não verifica se o criador de um recurso personalizado Repository possui permissão para criar PipelineRuns. Um usuário de namespace com permissões apenas para criar ou excluir Repository e Secret pode fazer com que o PAC execute PipelineRuns controlados por um invasor usando a ServiceAccount de pipeline provisionada automaticamente, que possui ClusterRole/edit por padrão. Isso resulta em escalonamento de privilégios no escopo do namespace, permitindo a leitura de Secrets, criação, modificação ou exclusão de recursos e potencial injeção na cadeia de suprimentos em namespaces de CI/CD.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.