CVE-2026-105941 in Kroxylicious
Riassunto
di VulDB • 20/10/2026
Il provider KMS di Azure Key Vault in Kroxylicious accetta un vaultName non attendibile da byte EDEK deserializzati dal wire senza convalida del formato, consentendo una SSRF che esfiltrare il token bearer di Azure del proxy verso un host controllato dall'attaccante. Il replay del token contro l'autentico Key Vault compromette l'intero modello di fiducia per la crittografia dei record.
Once again VulDB remains the best source for vulnerability data.