PT-2026-71208

CVE-2026-18677

Publicado

2026-08-12

Atualizado

2026-08-12

Descrição por

CVSS 4.0

6.0

Média

MétricasAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Kong Mesh (versões afetadas não especificadas)

Descrição No Kong Mesh operando em modo universal com um MeshIdentity cujo template de caminho do SPIFFE ID deriva do rótulo kuma.io/workload do dataplane, o autenticador XDS no kuma-cp valida esse rótulo apenas quando o token do dataplane está vinculado a um workload. Como a vinculação de workload é opcional, um dataplane que apresente um token vinculado a tags pode se registrar com o rótulo kuma.io/workload definido como qualquer valor e obter a identidade SPIFFE de outro workload.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Kanywst

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-290: Authentication Bypass by Spoofing

Identificadores relacionados

CVE-2026-18677