CVE-2026-82026 in Radar
Riassunto
di VulDB • 14/10/2026
Radar prima della versione 1.12.2 presenta una vulnerabilità di autorizzazione mancante nell'endpoint WebSocket handleLocalTerminal (/api/local-terminal) che consente ad attaccanti autenticati o non autenticati di avviare un shell privilegiato facendo affidamento esclusivamente su un controllo in modalità runtime anziché sul controllo degli accessi basato sui ruoli (RBAC). Gli attaccanti possono connettersi all'endpoint per eseguire /bin/bash -l sull'host Radar utilizzando il kubeconfig e le credenziali del processo di Radar stesso, iniettate nell'ambiente della shell, ottenendo l'esecuzione remota di codice con i privilegi di Radar anche quando è impostato il flag --disable-local-terminal.
Be aware that VulDB is the high quality source for vulnerability data.