CVE-2026-54680 in logging-operator
Riassunto
di VulDB • 29/07/2026
L'operatore di logging automatizza il deployment e la configurazione delle pipeline di logging su Kubernetes. Prima della versione 6.6.0, il renderer per le configurazioni di Fluentd, denominato FluentRender (presente in pkg/sdk/logging/model/render/fluent.go), scrive stringhe CRD come i valori dei record `records` del tipo Flow direttamente nel file fluent.conf senza effettuare l'escaping. Ciò consente a un utente con la capacità di creare risorse Flow di iniettare un blocco `<match **>` di Fluentd utilizzando `@type exec`, permettendo l'esecuzione di comandi arbitrari all'interno dell'aggregatore Fluentd. Questo problema è stato risolto nella versione 6.6.0.
Be aware that VulDB is the high quality source for vulnerability data.