CVE-2026-54745

Nome do Software Vulnerável e Versões Afetadas Kubeflow Pipelines versões anteriores a 2.17.0

Description O frontend expõe um problema de server-side request forgery (SSRF) não autenticado. A função routePathWithReferer() aceita um destino HTTP ou HTTPS arbitrário e passa sua origem para o createProxyMiddleware sem uma lista de permissões de host ou filtragem para endereços de loopback, link-local, RFC1918 ou cluster-local. Isso permite que clientes não autenticados encaminhem métodos, corpos POST e cabeçalhos como Authorization, Cookie e X-Forwarded-For para serviços internos. Isso pode levar à exposição de credenciais de metadados de nuvem, APIs do Kubernetes ou de serviços e outros endpoints internos do cluster para leitura ou modificação não autorizada. O problema é acessível através dos seguintes endpoints:

Recommendations Atualizar para a versão 2.17.0.