PT-2026-139956
CVE-2026-124440
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Kyverno الإصدار 1.19.1
Description
يوجد تجاوز للصلاحيات في clamp الخاص بنطاق اسم
apiCall. تسمح هذه المشكلة لمستأجري نطاق الاسم بإرسال طلبات API عبر نطاقات الأسماء وعلى مستوى العنقود من خلال إلحاق رموز هروب مئوية مشوهة بمتغير urlPath. يمكن للمهاجم إنشاء سياسات نطاق اسم حيث يتم تشغيل apiCall باستخدام ServiceAccount الخاص بمتحكم القبول، مما يمكنهم من قراءة موارد نطاقات الأسماء الأخرى وإنشاء webhooks تغييرية لتصعيد الصلاحيات إلى مسؤول العنقود.Recommendations
تحديث Kyverno الإصدار 1.19.1 إلى 1.19.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾