CVE-2026-61850

Nome do Software Vulnerável e Versões Afetadas Kargo versões 0.6.0 até 1.8.13 Kargo versões 1.9.0 até 1.9.8 Kargo versões 1.10.0 até 1.10.7

Description Duas falhas de autorização na project-scoped RBAC API permitem que um usuário autenticado com permissões delegadas para gerenciar Roles ou ServiceAccounts de um Projeto conceda permissões que excedam as suas próprias. Um usuário autorizado a editar Roles pode criar ou modificar regras para conceder permissões não autorizadas, enquanto um usuário autorizado a editar a ServiceAccount de uma Role pode vincular uma identidade a uma Role mais poderosa. Isso ocorre porque o servidor de API utiliza credenciais amplamente privilegiadas e realiza apenas uma verificação superficial de edição do tipo de recurso, em vez de verificar cada permissão concedida. Isso pode levar à escalada para acesso de administrador do Projeto, divulgação de Project Secrets e credenciais, e a modificação ou exclusão de recursos do Projeto. Além disso, credenciais roubadas de Git, registro de contêineres ou registro Helm podem impactar a confidencialidade e integridade de sistemas externos. A exploração requer uma função personalizada criada por um administrador que conceda essas permissões específicas e o controle de uma conta atribuída a essa função, limitando-se a Projetos onde o invasor já possui delegação de gerenciamento de RBAC.

Recommendations Atualizar para a versão 1.8.14 Atualizar para a versão 1.9.9 Atualizar para a versão 1.10.8