CVE-2026-13451

CVSS 7.7 HIGH Lộ dữ liệu

Kserve: kserve: server-side request forgery via malicious storageuri

Công bố: 2026-10-29
Cập nhật: 2026-10-29
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

A flaw was found in KServe. A namespace-scoped user with create/update permissions on InferenceService custom resources can exploit this vulnerability by providing a malicious storageUri. This Server-Side Request Forgery (SSRF) vulnerability allows the storage-initializer init container to issue arbitrary outbound HTTP/HTTPS requests from inside the cluster. This can lead to information disclosure, including credential theft for the node's Identity and Access Management (IAM) role or access to internal cluster services.

Điểm và phân loại

CVSS: 7.7 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-918

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Ảnh hưởng

Sản phẩm

Red Hat Red Hat OpenShift AI (RHOAI)

Vì sao bị lọc

CVSS 7.7 < 8.0 và không thuộc CISA KEV

Loại tác động

Lộ dữ liệu: CWE-918; từ khoá "server-side request forgery"; từ khoá "ssrf"; từ khoá "information disclosure"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: redhat