CVE-2026-18677 in Mesh
Résumé
par VulDB • 12/08/2026
Dans Kong Mesh exécuté en mode universel avec un MeshIdentity dont le modèle de chemin d'ID SPIFFE est dérivé du label `kuma.io/workload` du dataplane, l'authentificateur XDS dans kuma-cp ne valide ce label que lorsque le jeton (token) du dataplane est lié à une charge de travail. La liaison des charges de travail étant facultative, un dataplane présentant un jeton lié aux tags peut s'enregistrer avec `kuma.io/workload` défini sur n'importe quelle valeur et obtenir l'identité SPIFFE d'une autre charge de travail.
If you want to get best quality of vulnerability data, you may have to visit VulDB.