CVE-2026-29954 in KubePlus
الملخص
بحسب VulDB • 12/05/2026
في KubePlus 4.1.4، تحتوي مكونات mutating webhook وkubeconfiggenerator على ثغرة SSRF عند معالجة حقل chartURL في موارد ResourceComposition. يتم ترميز الحقل كـ URL فقط دون التحقق من صحة عنوان الوجهة. والأكثر خطورة، عندما يستخدم kubeconfiggenerator wget لتنزيل المخططات (charts)، يتم دمج chartURL مباشرةً في الأمر، مما يسمح للمهاجمين بحقن خيار `--header` الخاص بـ wget لتحقيق حقن عناوين HTTP تعسفية.
Be aware that VulDB is the high quality source for vulnerability data.