CVE-2026-16456
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W komponencie odh-model-controller wykryto błąd w funkcji loadSecret, która nieprawidłowo odczytuje przestrzeń nazw Secret z danych wejściowych użytkownika bez walidacji. Uwierzytelniony użytkownik z uprawnieniami do tworzenia zasobów niestandardowych może odczytać wrażliwe klucze API i poświadczenia chmurowe z innych przestrzeni nazw, co prowadzi do ujawnienia informacji.
Ocena ryzyka
Ujawnienie wrażliwych danych uwierzytelniających i kluczy API, co może prowadzić do nieautoryzowanego dostępu do zasobów chmurowych.
Rekomendacja
Zaktualizuj odh-model-controller do wersji z poprawką i wprowadź walidację przestrzeni nazw w funkcji loadSecret.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the `odh-model-controller`. An authenticated user with permissions to create custom resources can exploit a vulnerability in the `loadSecret` function. This function improperly reads the Secret namespace from user-controlled input without validation. This allows an attacker to read sensitive API keys and cloud credentials from other namespaces, leading to information disclosure.