CVE-2026-82026 in Radar
Zusammenfassung
von VulDB • 14.10.2026
Radar vor Version 1.12.2 enthält eine Schwachstelle aufgrund fehlender Autorisierung im WebSocket-Endpunkt handleLocalTerminal (/api/local-terminal), die es authentifizierten oder nicht-authentifizierten Angreifern ermöglicht, eine privilegierte Shell zu starten, indem sie sich ausschließlich auf eine Runtime-Mode-Prüfung statten und keine rollenbasierte Zugriffskontrolle (RBAC) verwenden. Angreifer können sich mit dem Endpunkt verbinden, um /bin/bash -l auf dem Radar-Host auszuführen, wobei die eigenen kubeconfig-Daten und Prozesstanmeldeinformationen von Radar in die Shell-Umgebung injiziert werden, wodurch Remote Code Execution (RCE) mit den Berechtigungen von Radar erreicht wird, selbst wenn das Flag --disable-local-terminal gesetzt ist.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.