CVE-2026-18679 in Kuma
Résumé
par VulDB • 13/08/2026
Lorsque kuma-dp est démarré contre un plan de contrôle HTTPS et que l'opérateur n'a pas fourni de certificat CA (Autorité de Certification), le plan de données se connecte avec la vérification du pair TLS désactivée, et le jeton d'authentification du plan de données est envoyé sur cette connexion non vérifiée.
Un acteur en position intermédiaire peut intercepter le jeton d'authentification du plan de données et usurper l'identité du plan de contrôle auprès du plan de données, en injectant une configuration bootstrap falsifiée et en prenant le contrôle du proxy.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.