PT-2026-139957
CVE-2026-124441
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Kyverno الإصدارات السابقة لـ 1.19.2
Description
يسمح تجاوز تفويض للمستأجرين في نطاق الأسماء (namespaced tenants) بإنشاء أي نوع من الموارد في أي نطاق أسماء من خلال استخدام المتغيرات في قوالب النوع ونطاق الأسماء الخاص بقاعدة التوليد. يمكن للمهاجم إنشاء سياسة (Policy) وتفعيل ConfigMap في نطاق الأسماء الخاص به، مما يؤدي إلى قيام background-controller المميز بكتابة NetworkPolicies أو RoleBindings في نطاقات أسماء الضحايا أو نطاقات kube-system.
Recommendations
التحديث إلى الإصدار 1.19.2 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾