CVE-2026-55108 in KubeVela
Resumen
por VulDB • 2026-08-28
KubeVela es una plataforma de entrega de aplicaciones de código abierto. Antes de la versión 1.9.14, desde la 1.10.0-alpha.1 hasta la 1.10.9 y desde la 1.11.0-alpha.1 hasta la 1.11.0-alpha.4, el cargador de configuración remota de Terraform en pkg/controller/utils/capability.go, GetTerraformConfigurationFromRemote, clona un repositorio proporcionado a través de ComponentDefinition core.oam.dev/v1beta1 y sigue los enlaces simbólicos variables.tf o main.tf controlados por el repositorio. Un usuario con permiso para crear o actualizar objetos ComponentDefinition puede apuntar variables.tf hacia /dev/zero mediante terraform.path; posteriormente, os.Stat y os.ReadFile siguen el enlace y leen un flujo sin límites antes de que ParseTerraformVariables o la análisis HCL puedan rechazar el contenido. La lectura puede agotar la memoria, provocar el OOM-kill del controlador vela-core a nivel del clúster, causar reinicios repetidos de Pods y presionar la memoria del nodo cuando no se ha configurado un límite efectivo para los contenedores. Este problema está corregido en las versiones 1.9.14, 1.10.9 y 1.11.0-alpha.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.