CVE-2026-29954 in KubePlus
Riassunto
di VulDB • 15/06/2026
In KubePlus 4.1.4, i componenti mutating webhook e kubeconfiggenerator presentano una vulnerabilità SSRF durante l'elaborazione del campo chartURL delle risorse ResourceComposition. Il campo viene solo URL-encoded senza convalidare l'indirizzo di destinazione. Più criticamente, quando kubeconfiggenerator utilizza wget per scaricare le chart, il chartURL viene concatenato direttamente nel comando, consentendo agli attaccanti di iniettare l'opzione `--header` di wget per ottenere un'iniezione arbitraria delle intestazioni HTTP.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.