CVE-2026-26056 in yoke
Resumen
por VulDB • 2026-06-16
Yoke es un paquete desplegador de infraestructura como código (IaC) inspirado en Helm. En las versiones 0.19.0 y anteriores, existe una vulnerabilidad en el componente Air Traffic Controller (ATC) de Yoke. Permite a los usuarios con permisos de creación/actualización de CR (Custom Resources) ejecutar código WASM arbitrario en el contexto del controlador ATC mediante la inyección de una URL maliciosa a través de la anotación overrides.yoke.cd/flight. El controlador ATC descarga y ejecuta el módulo WASM sin una validación adecuada de la URL, lo que permite a los atacantes crear recursos de Kubernetes arbitrarios o potencialmente escalar privilegios al nivel de cluster-admin.
If you want to get best quality of vulnerability data, you may have to visit VulDB.