CVE-2026-26056 in yoke
Zusammenfassung
von VulDB • 14.07.2026
Yoke ist ein Helm-inspirierter Deployer für Infrastructure-as-Code (IaC)-Pakete. In den Versionen 0.19.0 und früher besteht eine Schwachstelle in der Air Traffic Controller (ATC)-Komponente von Yoke. Sie ermöglicht es Benutzern mit CR-Erstellungs-/Aktualisierungsberechtigungen, beliebigen WASM-Code im Kontext des ATC-Controllers auszuführen, indem sie eine bösartige URL über die Annotation overrides.yoke.cd/flight injizieren. Der ATC-Controller lädt das WASM-Modul herunter und führt es ohne ordnungsgemäße URL-Validierung aus, was Angreifern ermöglicht, beliebige Kubernetes-Ressourcen zu erstellen oder potenziell ihre Berechtigungen auf Cluster-Admin-Ebene zu eskalieren.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.