CVE-2026-66794

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.3
EPSS: 0.6%
CWE: CWE-918
KEV Durumu: Hayır

Yayım tarihi: 19 Ağustos 2026

Multicluster Engine için Kubernetes'in `cluster-proxy-addon` bileşeninde bir güvenlik açığı bulundu. Bu zafiyet, kullanıcıya yönelik rotaya erişimi olan kimlik doğrulaması yapılmamış bir saldırgana, kimlik doğrulama ve yetkilendirme kontrollerini atlamasına izin verir. URL yol segmentlerini manipüle ederek, saldırgan herhangi bir yönetilen kümedeki keyfi hizmetlere istekleri vekil olarak gönderebilir. Bu, normalde korunan iç hizmetlere yetkisiz erişim sağlar ve potansiyel olarak bilgi sızdırmasına veya küme ortamının daha fazla tehlikeye atılmasına neden olabilir.

Orijinal açıklama (İngilizce)

A flaw was found in the `cluster-proxy-addon` component of Multicluster Engine for Kubernetes. This vulnerability allows an unauthenticated attacker, who can access the user-facing route, to bypass authentication and authorization checks. By manipulating URL path segments, the attacker can proxy requests to arbitrary services across any managed cluster. This enables unauthorized access to internal services that would otherwise be protected, potentially leading to information disclosure or further compromise of the cluster environment.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.