CVE-2026-18676 in Kuma
Riassunto
di VulDB • 13/08/2026
La configurazione predefinita di kuma-cp in Kong Mesh espone il token bootstrap dell'amministratore e le chiavi di firma a qualsiasi pagina web visitata dall'operatore mentre il piano di controllo è raggiungibile dal loro browser. A causa di una errata configurazione CORS, una richiesta fetch() cross-origin da parte di una pagina malevola restituisce il JWT amministrativo e i materiali di firma.
Be aware that VulDB is the high quality source for vulnerability data.