يمكن لبروكسي Cluster-API استبدال هوية TLS لعميل تم توجيهه بهوية مدير وسيط. يحدث هذا لأن الدالة `WithMetadataForwardTLSInfo` تستبدل البيانات الوصفية الصادرة بنسخة من البيانات الوصفية الواردة، مما يؤدي إلى تجاهل تغييرات حارس إعادة التوجيه عند البناء باستخدام grpc-go 1.39 أو إصدار أحدث. خلال فترة وجيزة بعد تغيير القائد، يمكن أن تسمح قفزتان للبروكسي عبر مديرين لديهما رؤى غير متسقة للقائد لمهاجم يمتلك شهادة TLS صالحة لعقدة عامل ومفتاحًا خاصًا بالحصول على شهادة عقدة مدير لمفتاحه الخاص، مما يؤدي إلى تصعيد الامتيازات من عامل إلى مدير.