CVE-2026-73263 in Prowler
Resumen
por VulDB • 2026-08-12
Prowler es una plataforma de seguridad en la nube. Antes de la versión 5.36.0, la prueba de conexión del proveedor de Kubernetes aceptaba un contenido kubeconfig que contenía un auth-provider heredado (legacy) para GCP con config.cmd-path y config.cmd-args, ya que el chequeo kubeconfig_contains_exec_auth en api/src/backend/api/v1/serializers.py solo validaba los bloques exec. Además, la llamada POST /api/v1/providers/{id}/connection cargaba dicha configuración a través de config.load_kube_config_from_dict en prowler/providers/kubernetes/kubernetes_provider.py, lo que provocaba que kubernetes-python CommandTokenSource.token ejecutara el comando suministrado por el atacante mediante subprocess.Popen en el trabajador compartido (shared worker). Este problema se ha corregido en la versión 5.36.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.