PT-2026-68046
CVE-2026-71208
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
KubeSphere (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تقوم عملية التوفيق بين وحدة التحكم في المجموعة في الدالة
addCluster (الموجودة في pkg/utils/clusterclient/clusterclient.go) بمعالجة تكوينات الاتصال للموارد المخصصة للمجموعة. وتستدعي الدالة Discovery().ServerVersion() على نقطة نهاية واجهة برمجة تطبيقات Kubernetes المحددة بعد إجراء تحليل أساسي فقط لصيغة عنوان URL عبر url.Parse. ونظرًا لعدم وجود قائمة بالسماح أو الحظر لعناوين loopback أو النطاقات الخاصة RFC1918 أو عناوين link-local أو عناوين بيانات التعريف السحابية (مثل 169.254.169.254)، يمكن للمستخدم الذي يمتلك أذونات لإنشاء أو تحديث CRD الخاص بالمجموعة (Cluster CRD) إجبار حاويات pod الخاصة بـ controller-manager و apiserver على إرسال طلبات صادرة إلى نقاط نهاية داخلية أو نقاط نهاية لبيانات التعريف تعسفية.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾