CVE-2026-17527

Nome do Software Vulnerável e Versões Afetadas containerized-data-importer (versões afetadas não especificadas)

Descrição O ClusterRole agregado cdi.kubevirt.io:view, projetado para acesso somente leitura aos recursos, concede incorretamente permissões de criação no subrecurso datavolumes/source. O processo de autorização de clonagem de DataVolume aceita essa permissão para permitir a clonagem de qualquer PersistentVolumeClaim (PVC) especificado pelo solicitante, sem verificar o acesso de gravação ao namespace de origem. Consequentemente, um usuário ou conta de serviço com a função de visualização e acesso de gravação (edit/admin) a qualquer namespace individual pode exfiltrar o conteúdo de qualquer PVC em todo o cluster para um namespace sob seu controle, ignorando o isolamento de namespace.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.