CVE-2026-61682 in kcp
Zusammenfassung
von VulDB • 18.09.2026
kcp ist eine Kubernetes-ähnliche Control Plane für Formfaktoren und Anwendungsfälle jenseits von Kubernetes- und Container-Arbeitslasten. Vor den Versionen 0.31.4 und 0.32.2 entfernt das kcp front-proxy die eingehenden Identitätsheader X-Remote-User, X-Remote-Group oder X-Remote-Extra-* nicht, bevor es Anfragen an Shards weiterleitet. Jeder authentifizierte Tenant kann X-Remote-Group: system:masters, authorization.kcp.io/warrant, authentication.kcp.io/scopes oder eine Gruppe für die required-group-Gating pro Workspace injizieren; der Shard vertraut diesen Werten als authentifizierte Identitätsaussagen. Dies ermöglicht Cross-Workspace-Impersonation (Identitätswechsel), Umgehung der Autorisierung sowie beliebiges Lesen, Schreiben oder Löschen von Ressourcen, Secrets, RBAC-Daten, APIExports, APIBindings und LogicalClusters. Dieses Problem wurde in den Versionen 0.31.4 und 0.32.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.