根据提供的网页截图，以下是关于该漏洞的总结： 漏洞概述 漏洞名称: Kubeflow ResourceComposition ChartUtil.SSIF + Header Injection 漏洞类型: 服务端请求伪造 (SSRF) 和 HTTP 头注入 (Header Injection) 描述: 在 Kubeflow ResourceComposition 的 ChartUtil 组件中存在一个 SSRF 漏洞，允许攻击者通过构造恶意请求访问内部网络资源。此外，还存在一个 HTTP 头注入漏洞，允许攻击者注入自定义 HTTP 头。这两个漏洞结合使用，可能导致敏感信息泄露、内部服务探测或更严重的攻击。 严重程度: 高 (High) CVSS 评分: 8.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) 影响范围 受影响组件: Kubeflow ResourceComposition (具体为 包) 受影响版本: 所有版本 (All versions) 受影响环境: 运行 Kubeflow ResourceComposition 的 Kubernetes 集群。 修复方案 官方修复: 目前似乎没有提供具体的官方补丁版本或修复代码（页面显示 "No fix available" 或类似状态，需参考 "Workarounds"）。 缓解措施 (Workarounds): 限制对 Kubeflow ResourceComposition 的访问权限。 使用网络策略 (Network Policies) 限制出站流量。 监控异常的网络请求。 升级 Kubeflow 到最新版本（如果后续发布了修复版）。 POC 代码 / 利用代码 页面中提供了详细的 POC 代码，用于演示 SSRF 和 Header Injection 漏洞。 1. SSRF 漏洞 POC (Python) 2. Header Injection 漏洞 POC (Python) 3. 结合 SSRF 和 Header Injection 的 POC (Python) 注意: 以上代码仅为演示目的，实际利用时需要根据目标环境进行调整。请勿在未经授权的情况下使用这些代码。 根据提供的网页截图，以下是关于该漏洞的总结： 漏洞概述 漏洞名称: Kubeflow ResourceComposition ChartUtil.SSIF + Header Injection 漏洞类型: 服务端请求伪造 (SSRF) 和 HTTP 头注入 (Header Injection) 描述: 在 Kubeflow ResourceComposition 的 ChartUtil 组件中存在一个 SSRF 漏洞，允许攻击者通过构造恶意请求访问内部网络资源。此外，还存在一个 HTTP 头注入漏洞，允许攻击者注入自定义 HTTP 头。这两个漏洞结合使用，可能导致敏感信息泄露、内部服务探测或更严重的攻击。 严重程度: 高 (High) CVSS 评分: 8.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) 影响范围 受影响组件: Kubeflow ResourceComposition (具体为 包) 受影响版本: 所有版本 (All versions) 受影响环境: 运行 Kubeflow ResourceComposition 的 Kubernetes 集群。 修复方案 官方修复: 目前似乎没有提供具体的官方补丁版本或修复代码（页面显示 "No fix available" 或类似状态，需参考 "Workarounds"）。 缓解措施 (Workarounds): 限制对 Kubeflow ResourceComposition 的访问权限。 使用网络策略 (Network Policies) 限制出站流量。 监控异常的网络请求。 升级 Kubeflow 到最新版本（如果后续发布了修复版）。 POC 代码 / 利用代码 页面中提供了详细的 POC 代码，用于演示 SSRF 和 Header Injection 漏洞。 1. SSRF 漏洞 POC (Python) 2. Header Injection 漏洞 POC (Python) 3. 结合 SSRF 和 Header Injection 的 POC (Python) 注意: 以上代码仅为演示目的，实际利用时需要根据目标环境进行调整。请勿在未经授权的情况下使用这些代码。