Vulnerabilidad en Kubeflow Pipeline View (CVE-2024-9526)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

18/11/2024

Última modificación:

18/11/2024

Descripción

Existe una vulnerabilidad de XSS almacenada en la interfaz web de Kubeflow Pipeline View. La interfaz web de Kubeflow permite crear nuevas canalizaciones. Al crear una nueva canalización, es posible agregar una descripción. El campo de descripción permite etiquetas HTML, que no se filtran correctamente. Esto genera un XSS almacenado. Recomendamos actualizar la versión anterior a el commit 930c35f1c543998e60e8d648ce93185c9b5dbe8d

Impacto

Vector 4.0

CVSS:4.0/AV:A/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/S:P/AU:Y/R:U/V:D/RE:L/U:Green CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.10 ALTA
Vector: CVSS:4.0/AV:A/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/S:P/AU:Y/R:U/V:D/RE:L/U:Green

Vector de acceso (AV): Red adyacente
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Passsive
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Bajo
Confidentiality (SC): Alto
Integrity (SI): Alto
Availability (SA): Bajo
Safety (S): Present
Automatable (AU): Si
Recovery (R): Usuario
Value Density (V): Diffuse
Vulnerability Response Effort (RE): Bajo
Provider Urgency (U): Verde

Puntuación base 4.0

7.10

Gravedad 4.0

ALTA

Referencias a soluciones, herramientas e información

https://github.com/kubeflow/pipelines/pull/10315