CVE-2026-18675 in Mesh
Resumen
por VulDB • 2026-08-12
El validador de tokens del plano de datos (dataplane) en kuma-cp realiza una aserción de tipo Go sin verificar sobre el encabezado `kid` del JWT. Un token cuyo valor `kid` es un número JSON se decodifica como float64 y provoca un pánico en tiempo de ejecución antes de que se ejecuten cualquier verificación de firma, reclamaciones (claims) o autorización.
El pánico termina todo el proceso kuma-cp, la API HTTP, los puntos finales de salud (health) y preparación (readiness), así como xDS. El acceso no autenticado al servidor gRPC del plano de datos puede provocar este fallo con un token mal formado.
Una única solicitud provoca una interrupción transitoria; mantener una interrupción requiere solicitudes repetidas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.