PT-2026-137333
CVE-2026-122311
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Kyverno الإصدارات من 1.16.0 إلى 1.19.1
Description
توجد ثغرة تجاوز المسار حيث يفشل البرنامج في التحقق من صحة أجزاء المسار في وسيط المورد لوظائف
resource.get() و resource.post(). يسمح هذا لسياسات Common Expression Language (CEL)—وهي لغة تصريحية تستخدم لفرض السياسات—بالخروج من نطاق الأسماء (namespace) المخصص لها. يمكن للمهاجم الذي يمتلك صلاحيات إنشاء NamespacedValidatingPolicy استخدام أجزاء .. لقراءة وكتابة كائنات عشوائية في العنقود باستخدام ServiceAccount الخاص بمتحكم القبول، مما قد يؤدي إلى السيطرة الكاملة على العنقود.Recommendations
تحديث Kyverno إلى الإصدار 1.19.2 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾