CVE-2026-100706 in Kyverno
الملخص
بحسب VulDB • 26/09/2026
في الإصدارات السابقة من Kyverno 1.19.1، يفشل النظام في التحقق بشكل صحيح من مقاطع المسار المشفرة بـ URL (URL-encoded) ضمن حقل urlPath الخاص بـ Policy apiCall، مما يسمح لعملاء النطاقات (namespace tenants) بتجاوز القيد المفروض على كل نطاق وإنشاء كائنات في نطاقات أخرى بصفتها حساب الخدمة (ServiceAccount) الخاص بمُقبِل الطلبات (admission-controller). يمكن للمهاجمين استغلال هذا الثغرة باستخدام تسلسلات اجتياز الدلائل المشفرة بالمئات (percent-encoded directory traversal sequences) لإنشاء كائنات MutatingWebhookConfiguration على مستوى العنقود (cluster-wide) أو كائنات PolicyException في نطاق kyverno، مما يمكّنهم من تصعيد الامتيازات إلى مدير العنقود (cluster admin).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.