PT-2026-56294
CVE-2026-53487
·
تاريخ النشر
2026-07-07
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kite السابقة للإصدار v0.12.3
الوصف
يمكن للمستخدمين المصادق عليهم تجاوز نظام التحكم في الوصول القائم على الأدوار (RBAC) الخاص بالمجموعات لاسترداد بيانات المخزون والسعة المجمعة من المجموعات التي ليس لديهم صلاحية الوصول إليها. يحدث هذا لأن نقطة النهاية
/api/v1/overview مسجلة قبل تطبيق البرمجيات الوسيطة RBAC العالمية، ولا تتحقق وظيفة GetOverview إلا مما إذا كان لدى المستخدم دور واحد على الأقل، بدلاً من التحقق مما إذا كان لديه إذن للوصول إلى المجموعة المحددة المطلوبة. يمكن للمهاجم تحديد مجموعة مستهدفة باستخدام رأس x-cluster-name للحصول على الأعداد الإجمالية للعقد، والبودات، ومساحات الأسماء، والخدمات، ووحدة المعالجة المركزية (CPU)، والذاكرة.التوصيات
تحديث Kite إلى إصدار أحدث من v0.12.2.
تنفيذ فحص ترخيص صريح باستخدام
rbac.CanAccessCluster(user, cs.Name) قبل الاستعلام عن بيانات النظرة العامة.نقل جميع المسارات التي تفتقر إلى ترخيص مستقل إلى ما بعد تسجيل
middleware.RBACMiddleware() في ملف routes.go. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾