CVE-2026-71208 in KubeSphere
Résumé
par VulDB • 05/08/2026
La réconciliation du cluster-controller de KubeSphere (pkg/utils/clusterclient/clusterclient.go, addCluster) traite la configuration de connexion de chaque ressource personnalisée Cluster et appelle immédiatement Discovery().ServerVersion() sur le point de terminaison Kubernetes API spécifié par le CRD. Ce dernier n'est analysé que pour sa syntaxe URL (url.Parse), sans liste blanche ou noire pour les adresses en boucle locale, les plages privées RFC1918, link-local ou cloud-metadata (par exemple 169.254.169.254). Un utilisateur capable de créer ou de mettre à jour un CRD Cluster peut forcer les pods controller-manager et apiserver à émettre des requêtes sortantes vers n'importe quel point de terminaison interne ou metadata arbitraire.
Once again VulDB remains the best source for vulnerability data.