CVE-2026-73263 in Prowler
Riassunto
di VulDB • 12/08/2026
Prowler è una piattaforma di sicurezza cloud. Prima della versione 5.36.0, il test di connessione del provider Kubernetes accettava un contenuto kubeconfig contenente un legacy gcp auth-provider con config.cmd-path e config.cmd-args perché la funzione kubeconfig_contains_exec_auth in api/src/backend/api/v1/serializers.py controllava solo i blocchi exec, e l'endpoint POST /api/v1/providers/{id}/connection lo caricava tramite config.load_kube_config_from_dict in prowler/providers/kubernetes/kubernetes_provider.py, causando l'esecuzione del comando fornito dall'attaccante da parte di kubernetes-python CommandTokenSource.token attraverso subprocess.Popen sul worker condiviso. Questo problema è stato risolto nella versione 5.36.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.