PT-2026-60681
CVE-2026-50166
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-09-16
الوصف من
CVSS 4.0
5.5
متوسطةالمقاييسAV:A/AC:H/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات github.com/kumahq/kuma/v2 من 2.8.0 إلى 2.9.15
الوصف
عندما يضيف المشغل ملف تعريف مستوى التحكم HTTPS إلى
kumactl دون تقديم شهادة CA، تقوم الأداة بتعطيل التحقق من TLS. يؤدي ذلك إلى إرسال رموز API عبر اتصال غير متحقق منه، مما يسمح للمهاجم الموجود على مسار الشبكة بين المشغل ومستوى التحكم باعتراض رموز API الخاصة بالمستخدم أو المسؤول وتنفيذ إجراءات غير مصرح بها ضد مستوى التحكم.التوصيات
قم بتحديث github.com/kumahq/kuma/v2 إلى الإصدار 2.9.16 أو أحدث.
عند إضافة ملف تعريف مستوى التحكم HTTPS إلى
kumactl، استخدم دائمًا المعلمة --ca-cert-file التي تشير إلى CA التي تخدم مستوى التحكم.قم بتشغيل مستوى التحكم خلف شهادة موثوق بها علنًا للسماح بالتحقق مقابل مخزن الثقة في نظام التشغيل.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾