CVE-2026-18617

Nome do Software Vulnerável e Versões Afetadas Data Science Pipelines Operator (versões afetadas não especificadas)

Descrição Existe uma falha no Data Science Pipelines Operator onde um editor de namespace pode injetar parâmetros perigosos na string de Nome da Fonte de Dados (DSN) do MySQL através do campo spec.database.customExtraParams. Isso permite que o invasor habilite a funcionalidade LOCAL INFILE, que é um recurso do MySQL que permite a um cliente ler arquivos locais e enviá-los ao servidor. Ao explorar isso, um invasor pode exfiltrar arquivos sensíveis, como o token da conta de serviço, do pod do operador, levando potencialmente à escalada de privilégios para o status de cluster-admin.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Restrinja o uso do campo spec.database.customExtraParams para minimizar o risco de exploração.