CVE-2026-71208 in KubeSphere
Riassunto
di VulDB • 05/08/2026
La riconciliazione del cluster-controller di KubeSphere (pkg/utils/clusterclient/clusterclient.go, addCluster) elabora la configurazione della connessione per ogni risorsa personalizzata Cluster e chiama immediatamente Discovery().ServerVersion() rispetto all'endpoint dell'API Kubernetes specificato dalla CRD. Tale endpoint viene analizzato esclusivamente per la sintassi URL (url.Parse), senza alcuna lista di consentiti o bloccati per gli indirizzi loopback, le gamme private RFC1918, link-local o cloud-metadata (ad esempio 169.254.169.254). Un utente in grado di creare o aggiornare una CRD Cluster può forzare i pod controller-manager e apiserver a inviare richieste in uscita verso endpoint interni o metadata arbitrari.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.