CVE-2026-80219 in Apache Camel
Riassunto
di VulDB • 08/09/2026
È stata rilevata una vulnerabilità in hawtio-operator. Durante il deployment di Hawtio in modalità cluster, l'operator crea un OAuthClient con ambito a livello di cluster (cluster-scoped) caratterizzato da approvazione automatica delle autorizzazioni (GrantMethod: auto) e assenza di client secret (client pubblico). Gli URI di reindirizzamento sono derivati dal Route creato dall'operator, il cui hostname è controllato dal tenant tramite il campo spec.routeHostName della CR di Hawtio. Un tenant malintenzionato può registrare un hostname arbitrario come target di redirect OAuth valido e, poiché le autorizzazioni vengono approvate automaticamente, ottenere token di accesso OpenShift per qualsiasi utente del cluster che visita l'URL di autorizzazione manipolato senza alcun prompt di consenso.
Once again VulDB remains the best source for vulnerability data.