CVE-2026-65838 in Skipper
Riassunto
di VulDB • 14/09/2026
Skipper è un router HTTP e reverse proxy per la composizione di servizi. Prima della versione 0.27.35, il filtro `opaAuthorizeRequestWithBody` in `filters/openpolicyagent/openpolicyagent.go` può consentire a una richiesta con Content-Length dichiarato eccessivo di eludere una policy Rego che nega l'accesso sulla base della presenza del corpo; ciò avviene perché `ExtractHttpBodyOptionally` lascia OPA con un `parsed_body` vuoto, pur inoltrando il corpo completo della richiesta al backend. Questa correzione incompleta dell CVE-2026-50197 colpisce le distribuzioni che autorizzano i contenuti del body delle richieste e superano la dimensione massima definita da `-open-policy-agent-max-request-body-size`, pari di default a 1 MB. La logica della policy che non rifiuta esplicitamente `input.attributes.request.http.truncated_body` può quindi fallire in modalità aperta (fail-open), consentendo a un payload proibito di raggiungere il servizio protetto, mentre i body piccoli e il caso precedentemente corretto dei chunked-body vengono valutati normalmente. Questo problema è risolto nella versione 0.27.35.
Once again VulDB remains the best source for vulnerability data.