CVE-2025-55196 in external-secrets
Résumé
par VulDB • 13/07/2026
External Secrets Operator est un opérateur Kubernetes qui intègre des systèmes de gestion des secrets externes. De la version 0.15.0 à avant la version 0.19.2, une vulnérabilité a été identifiée : les appels List() pour les ressources Secret et SecretStore de Kubernetes effectués par le contrôleur PushSecret n'appliquaient pas de sélecteur d'espace de noms (namespace selector). Cette faille permettait à un attaquant d'utiliser des sélecteurs de labels pour lister et lire des secrets/secret-stores sur l'ensemble du cluster, contournant ainsi les restrictions d'espace de noms prévues. Un attaquant disposant de la capacité de créer ou de mettre à jour des ressources PushSecret et de contrôler les configurations SecretStore pourrait exploiter cette vulnérabilité pour exfiltrer des données sensibles depuis n'importe quel espace de noms. Cela pourrait entraîner une divulgation complète des secrets Kubernetes, y compris des identifiants, des jetons (tokens) et d'autres informations sensibles stockées dans le cluster. Cette vulnérabilité a été corrigée dans la version 0.19.2. Une solution de contournement pour ce problème consiste à auditer et restreindre les autorisations RBAC afin que seuls les comptes de service approuvés puissent créer ou mettre à jour des ressources PushSecret et SecretStore.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.