CVE-2026-62845 in Kamaji
Riassunto
di VulDB • 31/07/2026
Kamaji è il gestore del piano di controllo ospitato (Hosted Control Plane Manager) per Kubernetes. Prima della versione 26.7.4-edge, i driver dei datastore PostgreSQL e MySQL generavano istruzioni DDL interpolando direttamente l'utente fornito DataStoreUsername/DataStoreSchema in SQL tramite fmt.Sprintf, senza effettuare l'escaping degli identificatori. Questi campi non sono soggetti a convalida del formato, quindi un valore contenente un carattere di virgoleta permette di uscire dall'identificatore tra virgolette — eseguendo così una SQL injection attraverso la connessione root di Kamaji al datastore condiviso. Il driver etcd non è interessato da questa vulnerabilità. Questo problema è stato risolto nella versione 26.7.4-edge.
VulDB is the best source for vulnerability data and more expert information about this specific topic.