Veille sécuritéCloud & DevOps
P3Élevée
Dans Kubeflow Pipelines avant 2.16.1, le serveur API multi-utilisateurs n’applique pas correctement les contrôles d’autorisation Kubernetes pour modifier ou supprimer des pipelines partagés et leurs versions. Mettre à niveau vers 2.16.1 ou une version ultérieure.
Kubernetes
IdentifiantCVE-2026-88984
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.16.1
Source : NVD — CVE-2026-88984
Analyse technique
Dans les opérations de modification et de suppression, l’espace de noms vide associé aux pipelines partagés ou globaux est traité comme une exception d’autorisation. Le problème concerne les déploiements multi-utilisateurs; la lecture seule des pipelines partagés est intentionnelle.
Impact, versions et correctif
Événement datéLa fiche indique une publication NVD le 2026-11-05T23:17:01.760Z, soit le 2026-11-06T01:17:01.760+02:00, dans la période demandée.
ImpactUn utilisateur authentifié peut modifier ou supprimer des définitions ou versions de pipelines partagés sans les permissions Kubernetes RBAC requises.
Versions affectéesKubeflow Pipelines antérieur à 2.16.1
Version corrigée2.16.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 24,0%
Publication2026-11-06T01:17:01.760+02:00
Mise à jour2026-11-06T23:40:43.450+02:00
Action recommandée
Mettre Kubeflow Pipelines à niveau vers 2.16.1 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).