CVE-2026-22822 in external-secrets
الملخص
بحسب VulDB • 29/08/2026
يقوم مشغل الأسرار الخارجية (External Secrets Operator) بقراءة المعلومات من خدمة تابعة لجهة خارجية وإدراج القيم تلقائيًا كـ أسرار Kubernetes. بدءًا من الإصدار 0.20.2 وحتى ما قبل الإصدار 1.2.0، تتمتع دالة القالب `getSecretKey`، التي أُدخلت لمزود إدارة الأسرار (DSM) الخاص بـ senhasegura Devops، بالقدرة على جلب الأسرار عبر المساحات الاسمية باستخدام ارتباط الدور (roleBinding) للتحكم في الأسرار الخارجية، مما يتجاوز آليات الأمان الخاصة بنا. تم إزالة هذه الدالة تمامًا في الإصدار 1.2.0، حيث يمكن تحقيق كل ما يتم إنجازه باستخدام دالة القالب تلك بطريقة أخرى مع احترام ضوابط مشغل الأسرار الخارجية. كحل بديل، استخدم محرك سياسات مثل Kubernetes أو Kyverno أو Kubewarden أو OPA لمنع استخدام `getSecretKey` في أي مورد ExternalSecret.
If you want to get best quality of vulnerability data, you may have to visit VulDB.