CVE-2026-73263 in Prowler
Résumé
par VulDB • 12/08/2026
Prowler est une plateforme de sécurité cloud. Avant la version 5.36.0, le test de connexion du fournisseur Kubernetes acceptait un contenu kubeconfig contenant un ancien auth-provider gcp avec config.cmd-path et config.cmd-args, car la fonction kubeconfig_contains_exec_auth dans api/src/backend/api/v1/serializers.py ne vérifiait que les blocs exec, et l'appel POST /api/v1/providers/{id}/connection chargeait ce contenu via config.load_kube_config_from_dict dans prowler/providers/kubernetes/kubernetes_provider.py. Cela entraînait l'exécution de la commande fournie par l'attaquant par CommandTokenSource.token (kubernetes-python) via subprocess.Popen sur le worker partagé. Ce problème est corrigé dans la version 5.36.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.