CVE-2026-111671

WysokieCVSS 7.1

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

Cube-studio do wersji 2026.09.01 zawiera podatność typu Insecure Direct Object Reference (IDOR), która pozwala uwierzytelnionym użytkownikom zatrzymywać, resetować, czyścić lub ponownie wdrażać notebooki i usługi innych użytkowników, podając ich identyfikatory. Atakujący mogą przekazywać sekwencyjne identyfikatory do endpointów cyklu życia w plikach view_notebook.py, view_inferenceserving.py i view_serving.py, aby usuwać pody i wyłączać produkcyjne endpointy wnioskowania.

Ocena ryzyka

Uwierzytelniony użytkownik o niskich uprawnieniach może zakłócić lub zniszczyć zasoby innych użytkowników, w tym wyłączyć produkcyjne endpointy wnioskowania, powodując przerwy w działaniu usług i utratę danych.

Rekomendacja

Zaktualizuj Cube-studio do wersji nowszej niż 2026.09.01, a do czasu aktualizacji wdróż kontrolę autoryzacji sprawdzającą właściciela zasobu przed wykonaniem operacji cyklu życia na notebookach i usługach.

Inne podatności w Cube-studio

CVE-2026-111672Średnie
Cube-studio do wersji 2026.09.01 zawiera podatność braku autoryzacji w myapp/views/view_pipeline.py, która pozwala uwierzytelnionym użytkownikom przeglądać lub kopiować pipeline'y innych grup projektowych po identyfikatorze. Atakujący może enumerować kolejne identyfikatory pipeline'ów przez endpointy web, log, monitoring, pod i copy_pipeline, ujawniając DAG-i, nazwy klastrów, przestrzenie nazw, identyfikatory workflow Argo i nazwy podów, albo klonować pipeline'y.

Oryginalny opis (angielski, źródło NVD)

Cube-studio through 2026.09.01 contains an insecure direct object reference vulnerability that allows authenticated users to stop, reset, clear or redeploy other users' notebooks and services by id. Attackers can pass sequential ids to lifecycle endpoints in view_notebook.py, view_inferenceserving.py and view_serving.py to delete pods and take production inference endpoints offline.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS