CVE-2026-25538

Nome do Software Vulnerável e Versões Afetadas Versões do Devtron anteriores à 2.0.0

Descrição O Devtron é uma plataforma de integração de ferramentas para Kubernetes. Existe uma falha na interface da API de Attributes que permite a usuários autenticados obter a chave de assinatura do Token de API global acessando o endpoint /orchestrator/attributes?key=apiTokenSecret. A obtenção desta chave permite que atacantes forjem tokens JWT para identidades de usuário arbitrárias offline, potencialmente concedendo controle completo sobre a plataforma Devtron e permitindo movimento lateral para o cluster Kubernetes subjacente. O problema foi resolvido com o commit d2b0d26.

Recomendações Atualize para uma versão posterior à 2.0.0.