CVE-2026-27111 in kargo
Riassunto
di VulDB • 17/06/2026
Kargo gestisce e automatizza la promozione di artefatti software. Dalla versione 1.9.0 alla 1.9.2, il modello di autorizzazione di Kargo include un verbo "promote" -- un non-standard Kubernetes "dolphin verb" -- che regola la capacità di avanzare i Freight attraverso una pipeline di promozione. Questo verbo esiste per separare la capacità di gestire le risorse relative alle promozioni dalla capacità di attivare le promozioni, consentendo un controllo degli accessi fine-grained su quella che è spesso un'operazione sensibile. Il verbo promote viene correttamente applicato nell'API gRPC legacy di Kargo. Tuttavia, tre endpoint nella nuova API REST omettono questo controllo, affidandosi solo al RBAC standard di Kubernetes per le operazioni sulle risorse sottostanti (patch su freights/status o create su promotions). Ciò consente agli utenti che detengono tali permessi standard -- ma a cui è stato deliberatamente negato il promote -- di aggirare il confine di autorizzazione previsto. Gli endpoint interessati sono /v1beta1/projects/{project}/freight/{freight}/approve, /v1beta1/projects/{project}/stages/{stage}/promotions e /v1beta1/projects/{project}/stages/{stage}/promotions/downstream. Questa vulnerabilità è risolta nella versione 1.9.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.