CVE-2026-72508

Nome do Software Vulnerável e Versões Afetadas Red Hat Advanced Cluster Management (versões afetadas não especificadas)

Descrição Uma falha no componente multicloud-operators-subscription permite que um locatário com privilégios de namespace-admin execute um ataque de confused-deputy. Ao criar Subscription Custom Resources (CRs), o locatário pode utilizar uma ServiceAccount (SA) altamente privilegiada para implantar recursos arbitrários com escopo de cluster. Esse processo leva à escalada de privilégios e à potencial execução arbitrária de código em todo o cluster. Um ataque de confused-deputy ocorre quando uma entidade privilegiada é enganada por uma entidade menos privilegiada para realizar uma ação para a qual não está autorizada.