Veille sécuritéCloud & DevOps
P4Moyenne
Des valeurs non fiables présentes dans certains paramètres de requête et détails d’erreur peuvent être incluses dans des réponses HTML des routes Kubernetes de Kubeflow Pipelines. Un lien spécialement conçu peut ainsi exécuter du JavaScript dans l’origine de l’interface lorsqu’un utilisateur accède à une réponse affectée; mettre à niveau vers la version corrigée.
JavaScriptKubernetes
IdentifiantCVE-2026-88986
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.15.0
Source : NVD — CVE-2026-88986
Analyse technique
L’exploitation dépend des exigences d’authentification et d’accès aux routes de l’installation. La divulgation de cookies dépend de leurs attributs; aucun impact sur l’exécution côté serveur ou la disponibilité n’est établi.
Impact, versions et correctif
Événement datéPublication NVD le 2026-11-05 à 22:18:54.743Z, soit le 2026-11-06 à 00:18:54.743+02:00; la mise à jour de la fiche le 2026-11-06 est également dans la période.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur qui suit un lien conçu et atteint une réponse vulnérable.
Versions affectéesKubeflow Pipelines antérieur à 2.15.0
Version corrigée2.15.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
EPSS0,28% · percentile 20,1%
Publication2026-11-05T22:18:54.743Z
Mise à jour2026-11-06T21:40:43.450Z
Action recommandée
Mettre à niveau Kubeflow Pipelines vers 2.15.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).