CVSS 9.0 以上
CVE-2026-77596
要約
Kubeflow Pipelines の 2.18.0 より前のバージョンでは、マルチユーザー向け HTTP エンドポイントの POST /apis/v2beta1/pipelines/upload と POST /apis/v2beta1/pipelines/upload_version が canUploadVersionedPipeline を呼び出すが、対象の名前空間が空で REQUIRE_NAMESPACE_FOR_PIPELINES がデフォルトの false の場合、この関数は SubjectAccessReview を行わずに戻る。このため、低権限のテナントが必要な書き込み権限なしに共有パイプラインを作成したり、既存の共有パイプラインに攻撃者が制御するバージョンを挿入したりできる。この問題はバージョン 2.18.0 で修正されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Kubeflow Pipelines
このタグの新着を RSS で受け取る: Kubeflow Pipelines(使い方)
判定の理由
- CVSS 9.0 以上