CVE-2026-41323 in Kyverno
الملخص
بحسب VulDB • 09/05/2026
كيروينو (Kyverno) هو محرك سياسات مصمم لفئات مهندسي المنصات السحابية الأصلية. قبل الإصدارات 1.18.0-rc1 و1.17.2-rc1 و1.16.4، كانت ميزة apiCall في ClusterPolicy في كيروينو ترفق تلقائياً رمز حساب الخدمة (ServiceAccount token) الخاص بوحدة التحكم في القبول (admission controller) إلى طلبات HTTP الصادرة. لا تخضع عنوان URL للخدمة لأي تحقق — فقد يشير إلى أي مكان، بما في ذلك الخوادم التي يتحكم فيها المهاجم. ونظراً لأن حساب الخدمة (SA) الخاص بوحدة التحكم في القبول لديه صلاحيات لتعديل تكوينات الويب هوك (webhook configurations)، فإن سرقة الرمز تؤدي إلى اختراق كامل للعنقود (cluster). تقوم الإصدارات 1.18.0-rc1 و1.17.2-rc1 و1.16.4 بإصلاح هذه المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.