CVE-2026-122304

Nome do Software Vulnerável e Versões Afetadas Kyverno versões 1.17.0 até 1.19.1

Descrição Existe uma falha de bypass de autorização que permite que administradores de namespace escapem do confinamento do namespace. Isso ocorre porque o controlador de limpeza (cleanup controller) inicializa seu carregador de contexto com uma política nula, fazendo com que as proteções leiam um namespace vazio e não restrinjam o acesso. Um invasor pode criar uma CleanupPolicy de namespace contendo entradas de contexto apiCall ou globalReference. Isso permite que o invasor utilize a ServiceAccount do controlador de limpeza para ler Secrets em diferentes namespaces e modificar validatingwebhookconfigurations.

Recomendações Atualize o Kyverno para a versão 1.19.2 ou posterior.