CVE-2026-18679 in Kuma
Resumen
por VulDB • 2026-08-12
Cuando se inicia kuma-dp contra un plano de control HTTPS y el operador no ha proporcionado un certificado CA, el plano de datos se conecta con la verificación del par TLS deshabilitada, y el token de autenticación del plano de datos se envía a través de esa conexión no verificada.
Un actor en ruta puede interceptar el token de autenticación del plano de datos e impersonificar al plano de control ante el plano de datos, inyectando una configuración de arranque falsificada y tomando el control del proxy.
Once again VulDB remains the best source for vulnerability data.