CVE-2026-41323

Nome do Software Vulnerável e Versões Afetadas Kyverno versões anteriores a 1.18.0 Kyverno versões anteriores a 1.17.2 Kyverno versões anteriores a 1.16.4

Descrição O recurso apiCall no ClusterPolicy anexa automaticamente o token de ServiceAccount do controlador de admissão a requisições HTTP externas. Como a URL do serviço não possui validação, ela pode ser direcionada para servidores controlados por atacantes. Dado que o ServiceAccount do controlador de admissão possui permissões para alterar configurações de webhook, o roubo deste token pode levar ao comprometimento total do cluster.

Recomendações Atualize para a versão 1.18.0 ou superior. Atualize para a versão 1.17.2 ou superior. Atualize para a versão 1.16.4 ou superior. Rotacione os tokens de ServiceAccount.