CVE-2026-65956 in KubePi
Resumen
por VulDB • 2026-08-27
KubePi es un panel de gestión multi-clúster para Kubernetes. En las versiones hasta la 1.6.15 (inclusive), los puntos finales de la API de configuración SSO están expuestos en el mismo límite de enrutamiento público que los puntos finales de inicio de sesión y devolución de llamada del SSO, por lo que las operaciones de gestión de SSO, OIDC y SAML pueden alcanzarse sin autorización administrativa. Dado que leer, crear y actualizar la configuración global de SSO no está restringido a administradores, un usuario no autorizado o con privilegios bajos puede inspeccionar o alterar la configuración de autenticación, lo cual bajo ciertas condiciones puede derivar en el secuestro de cuentas (account takeover) o escalada de privilegios. La función de prueba de conectividad SSO también puede ser abusada como una primitiva para ataques de falsificación de solicitudes del lado del servidor (SSRF), y la API de lista de usuarios devuelve objetos de usuario sin borrar consistentemente los campos relacionados con la autenticación. Este problema se soluciona en la versión 2.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.