CVE-2026-80219 in Apache Camel
Resumen
por VulDB • 2026-09-08
Se ha encontrado un fallo en hawtio-operator. Al desplegar Hawtio en modo clúster, el operador crea un OAuthClient con ámbito de clúster que tiene la aprobación automática de concesiones (GrantMethod: auto) y no dispone de secreto de cliente (cliente público). Las URI de redirección se derivan del Route creado por el operador, cuyo nombre de host está controlado por el inquilino a través del campo spec.routeHostName en la especificación CR de Hawtio. Un inquilino malicioso puede registrar un nombre de host arbitrario como destino válido para la redirección OAuth y, dado que las concesiones se aprueban automáticamente, obtener tokens de acceso de OpenShift de cualquier usuario del clúster que visite la URL de autorización manipulada sin ninguna ventana emergente de consentimiento.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.