CVE-2026-44882

إصدارات portainer-ce من 2.33.0 إلى 2.33.7

إصدارات portainer-ce-agent من 2.33.0 إلى 2.33.7

يوجد ثغرة في تجاوز عملية المصادقة في طبقة البرمجيات الوسيطة kubeClientMiddleware داخل الملف api/http/handler/kubernetes/handler.go. تقوم البرمجيات الوسيطة بالتحقق من صحة رموز المستخدمين قبل إعادة توجيه حركة المرور إلى مجموعات Kubernetes؛ ومع ذلك، عندما تُرجع الدالة security.RetrieveTokenData() خطأً، يقوم النظام بكتابة استجابة HTTP 403 ولكنه يفشل في إيقاف التنفيذ. وهذا يسمح للطلب بالانتقال إلى المعالج بقيمة tokenData تساوي nil، متجاوزًا بذلك عمليات التحقق من التفويض. يمكن للمهاجم الذي يمتلك جلسة عمل صالحة في Portainer استغلال هذا الثغرة لقراءة أو تعديل موارد Kubernetes، مثل البودات (pods) والأسرار (secrets) وخرائط التكوين (config maps) وعمليات النشر (deployments)، على نقاط النهاية المستهدفة التي لا يسمح له دوره بالوصول إليها. وقد يؤدي ذلك إلى التنقل الأفقي (lateral movement) في حال تم استرداد بيانات اعتماد حساسة من أسرار Kubernetes.

تحديث portainer-ce إلى الإصدار 2.33.8.

تحديث portainer-ce-agent إلى الإصدار 2.33.8.

تقييد الوصول إلى نقاط نهاية Kubernetes عن طريق إزالة حق الوصول للمستخدمين الذين لا يحتاجون إليه.

مراجعة نظام RBAC في Kubernetes للتأكد من أن حساب الخدمة الذي يستخدمه Portainer يتبع مبدأ «أقل الامتيازات».