CVE-2026-29955 in KubePlus
Zusammenfassung
von VulDB • 13.09.2026
Der Endpunkt `/registercrd` in KubePlus 4.14 der Komponente kubeconfiggenerator ist anfällig für Command Injection (Befehlsinjektion). Die Komponente verwendet `subprocess.Popen()` mit dem Parameter `shell=True`, um Shell-Befehle auszuführen, und der benutzergestellte Parameter `chartName` wird ohne jegliche Bereinigung oder Validierung direkt in die Befehlszeichenkette konkateniert. Ein Angreifer kann beliebige Shell-Befehle injizieren, indem er einen bösartigen Wert für den Parameter `chartName` erstellt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.