CVE-2026-122313
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- —
- CWE
- CWE-269
- KEV Durumu
- Hayır
Yayım tarihi: 5 Kasım 2026
1.17.0 sürümünden önce 1.19.2 sürümüne kadar olan Kyverno, ad alanı kapsamlı kiracılara NamespacedMutatingPolicy targetMatchConstraints.expression CEL çıktısında ad alanı kontrollerinin eksik olması nedeniyle diğer ad alanlarındaki kaynakları değiştirmelerine olanak tanıyan bir ayrıcalık yükseltme zafiyeti içerir. Saldırganlar başka bir kiracının RoleBinding gibi bir hedef oluşturabilir, ardından küme geneli arka plan denetleyicisi saldırgan konularını eklemek veya Roller, NetworkPolicies ve ConfigMaps'i değiştirmek için bu hedefi değiştirir.
Orijinal açıklama (İngilizce)
Kyverno from 1.17.0 before 1.19.2 contains a privilege escalation vulnerability that allows namespace-scoped tenants to modify resources in other namespaces through NamespacedMutatingPolicy targetMatchConstraints.expression CEL output lacking namespace checks. Attackers can emit a literal target such as another tenant's RoleBinding, which the cluster-wide background controller then mutates to add attacker subjects or alter Roles, NetworkPolicies, and ConfigMaps.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.