CVE-2026-22872

Nome do Software Vulnerável e Versões Afetadas Capsule versões anteriores a 0.13.0

Descrição O Capsule Controller é executado com privilégios de cluster-admin. Existe uma falha na função HandleSection() dentro do arquivo internal/controllers/resources/processor.go, onde a lógica de processamento de RawItems do TenantResource não valida adequadamente os escopos dos recursos. Embora o controlador tente definir um namespace usando obj.SetNamespace(), essa ação é ignorada pela API do Kubernetes para recursos de escopo de cluster. Consequentemente, usuários com privilégios de Tenant Owner podem aproveitar as permissões elevadas do controlador para criar recursos de escopo de cluster, como ClusterRole e ValidatingWebhookConfiguration, que não estão autorizados a criar diretamente. Isso pode levar à escalada de privilégios entre tenants, ataques em nível de cluster, roubo de dados sensíveis de todos os tenants via webhooks maliciosos ou negação de serviço em todo o cluster.

Recomendações Atualize para a versão 0.13.0. Como medida paliativa temporária, restrinja as permissões da ServiceAccount do Capsule Controller para remover os privilégios de cluster-admin, caso não sejam estritamente necessários.