PT-2026-138464
CVE-2026-50240
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenShift Pipelines-as-Code (إصدارات متأثرة غير محددة)
Description
يفشل OpenShift Pipelines-as-Code (PAC) في التحقق مما إذا كان منشئ مورد Repository مخصص يمتلك الأذونات اللازمة لإنشاء PipelineRuns. يمكن لمستخدم namespace لديه أذونات إنشاء أو حذف Repository و Secret فقط أن يتسبب في تنفيذ PAC لـ PipelineRuns يتحكم فيها المهاجم باستخدام ServiceAccount الخاصة بـ pipeline التي يتم توفيرها تلقائيًا، والتي تحمل ClusterRole/edit افتراضيًا. يؤدي هذا إلى تصعيد الامتيازات على مستوى namespace، مما يسمح بقراءة Secrets، وإنشاء الموارد أو تعديلها أو حذفها، واحتمالية حقن سلسلة التوريد في namespaces الخاصة بـ CI/CD.
Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾