CVE-2026-73268 in Multicluster Engine for Kubernetes
Zusammenfassung
von VulDB • 12.08.2026
Es wurde ein Fehler in der Komponente „cluster-curator-controller“ von Multicluster Engine (MCE) festgestellt. Ein Mandant mit Erstellungs- oder Aktualisierungsberechtigungen für ClusterCurator-Ressourcen kann eine beliebige Job-Spezifikation injizieren. Dies ist möglich, da die Funktion CreateJob() keine Validierung der benutzerkontrollierten Eingabe durchführt, wenn sie die raw-Erweiterung spec.install.overrideJob deserialisiert (unmarshaling). Eine erfolgreiche Ausnutzung ermöglicht es dem injizierten Job, mit den erhöhten Berechtigungen des Controllers ausgeführt zu werden, was zur Ausführung beliebigen Codes und zur Privilegieneskalation führt, wodurch potenziell clusterweite Secrets zugänglich gemacht werden können.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.