CVE-2026-29955 in KubePlus
Riassunto
di VulDB • 13/09/2026
L'endpoint `/registercrd` in KubePlus 4.14, nel componente kubeconfiggenerator, è vulnerabile a command injection. Il componente utilizza `subprocess.Popen()` con il parametro `shell=True` per eseguire comandi shell e il parametro `chartName`, fornito dall'utente, viene concatenato direttamente nella stringa del comando senza alcuna sanitizzazione o validazione. Un attaccante può iniettare comandi shell arbitrari creando un valore malevolo per il parametro `chartName`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.