FICHE CVE

CVE-2026-91925

Publiée le 2026-09-15 · Dernière modification le 2026-09-24

🇫🇷 EN BREF

Les versions de Polyaxon allant jusqu'à la 2.16.4 sont affectées par une faille dans la manière dont elles traitent les spécifications d'exécution. Un attaquant disposant d'un compte utilisateur standard peut exécuter des commandes arbitraires du système d'exploitation sur le serveur d'ordonnancement en soumettant une exécution contenant une charge utile Jinja2 spécialement conçue. Cette attaque peut être réalisée à distance via le réseau et ne nécessite aucune interaction ponctuelle de la part d'autres utilisateurs.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-1336

Publiée2026-09-15

Dernière modification2026-09-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Polyaxon through 2.16.4 renders operation specification fields with an unsandboxed Jinja2 environment during server-side run preparation, allowing authenticated users to execute arbitrary code. Attackers can submit runs with Jinja2 payloads in queue, namespace, conditions, presets, or dependencies fields to execute operating system commands in the scheduler process context, exposing database credentials and service tokens.