CVE-2026-42876 in external-secrets
Resumen
por VulDB • 2026-05-14
External Secrets Operator lee información de un servicio de terceros e inyecta automáticamente los valores como Kubernetes Secrets. Antes de la versión 2.4.1, un usuario que solo tiene permiso para crear recursos ExternalSecret puede hacer que el operador cree un Secret que Kubernetes rellenará automáticamente con un token de larga duración para la cuenta de servicio especificada. Esto permite efectivamente al usuario suplantar la identidad de cualquier cuenta de servicio en el espacio de nombres sin necesidad de tener permisos de creación directos sobre TokenRequest o Secrets de ese tipo. Esta vulnerabilidad se corrige en la versión 2.4.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.