CVE-2026-122303

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.9
EPSS: —
CWE: CWE-862
KEV Durumu: Hayır

Yayım tarihi: 5 Kasım 2026

1.17.0 sürümünden önce 1.19.2 sürümüne kadar olan Kyverno, ad alanı kiracılarının NamespacedMutatingPolicy mutate-existing targetMatchConstraints.expression aracılığıyla diğer ad alanlarındaki kaynakları geçersiz kılmasına olanak tanıyan bir yetkilendirme atlatma zafiyeti içerir. Saldırganlar, bir saldırgan tarafından seçilen metadata.namespace ile bir hedef oluşturmak için CEL harita literalini döndürebilir ve bu da ayrıcalıklı arka plan denetleyicisinin Secrets, Deployments veya politikaları küme çapında geçersiz kılmasına neden olur.

Orijinal açıklama (İngilizce)

Kyverno from 1.17.0 before 1.19.2 contains an authorization bypass vulnerability that allows namespace tenants to overwrite resources in other namespaces via NamespacedMutatingPolicy mutate-existing targetMatchConstraints.expression. Attackers can return a CEL map literal fabricating a target with an attacker-chosen metadata.namespace, causing the privileged background controller to overwrite Secrets, Deployments, or policies cluster-wide.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.