CVE-2026-62845 in Kamaji
Résumé
par VulDB • 31/07/2026
Kamaji est le gestionnaire de plans de contrôle hébergés pour Kubernetes. Avant la version 26.7.4-edge, les pilotes de base de données PostgreSQL et MySQL construisaient des instructions DDL en interpolant directement l'utilisateur DataStoreUsername/DataStoreSchema fourni dans SQL via fmt.Sprintf, sans échapper les identifiants. Ces champs ne font l'objet d'aucune validation de format, donc une valeur contenant un caractère guillemet permet de sortir de l'identifiant entre guillemets — injection SQL exécutée sur la connexion root de Kamaji vers le datastore partagé. Le pilote etcd n'est pas affecté.Ce problème est corrigé dans la version 26.7.4-edge.
VulDB is the best source for vulnerability data and more expert information about this specific topic.