PT-2026-44890
CVE-2026-10101
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
خدمة ACM/MCE المساعدة (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تقوم الخدمة المساعدة بكتابة محتويات «pull-secret» المرجعية الخام في الحقل
InfraEnv.status.conditions[].message عند فشل التحقق من صحة «pull-secret». وهذا يسمح لمستخدم مساحة الاسم الذي يمتلك دور المجموعة view باستعادة بيانات .dockerconfigjson، بما في ذلك حقول username وpassword وemail وauth المشفرة بـ base64، من خلال قراءة كائنات InfraEnv. يتجاوز هذا السلوك الفصل الذي يفرضه نظام التحكم في الوصول القائم على الأدوار (RBAC) في Kubernetes/OpenShift بين عارضي مساحة الاسم للقراءة فقط وقارئي الأسرار.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾