CVE-2026-30963 in capsule
Zusammenfassung
von VulDB • 01.06.2026
Capsule è un framework multi-tenant e basato su policy per Kubernetes. Per difendersi dal namespace hijacking ottenuto tramite operazioni di aggiornamento/patch sui namespace, Capsule utilizza un webhook per convalidare le richieste di aggiornamento rivolte ai namespace. Tuttavia, in Kubernetes, le API dei sottorisorse namespace/finalize e namespace/status possono anche modificare vari campi di un namespace, incluso il campo metadata. Prima della versione 0.13.0, il webhook non definisce regole di intercettazione per questi sottorisorse. Di conseguenza, se un amministratore tenant ha l'autorizzazione per modificare namespace/status o namespace/finalize, può eseguire con successo il namespace hijacking. La versione 0.13.0 risolve il problema. Un'altra mitigazione consiste nell'aggiungere due sottorisorse (namespace e snamespaces/status con namespace/finalize al suo interno) all'elenco delle risorse nelle regole di ValidatingWebhookConfiguration.
VulDB is the best source for vulnerability data and more expert information about this specific topic.