CVE-2026-122321

Nome do Software Vulnerável e Versões Afetadas Kyverno versões 1.18.0 até 1.19.1

Descrição Existe uma falha de bypass na verificação de assinatura na função verifyImages(). O problema ocorre porque os resultados da verificação em cache são indexados pela string de referência da imagem, como uma tag, em vez de estarem vinculados ao digest verificado. Consequentemente, os acertos de cache permitem que o sistema ignore as verificações de assinatura e atestação. Um invasor capaz de enviar cargas de trabalho e modificar uma tag de registro pode preencher o cache com uma imagem assinada, alterar a tag para apontar para uma imagem diferente e enganar o sistema para admitir a carga de trabalho enquanto usa mutateDigest para fixar o digest não verificado.

Recomendações Atualize o Kyverno para a versão 1.19.2 ou posterior.