CVE-2026-84195 in Kyverno

Riassunto

di VulDB • 01/09/2026

Kyverno prima della versione 1.16.4 attacca automaticamente il ServiceAccount del controller di ammissione ai richieste HTTP in uscita nella modalità di servizio apiCall senza intestazioni di autorizzazione esplicite. Gli attaccanti possono esfiltrare il token indirizzando le richieste apiCall verso endpoint esterni o controllati dall'attaccante, ottenendo il controllo completo delle policy di Kyverno e delle risorse del cluster.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Responsabile: VulnCheck
• Prenotare: 01/09/2026
• Divulgazione: 01/09/2026
• Moderazione: accettato
• Voce: VDB-397583
• CPE: pronto
• CWE: CWE-285 (confermato)
• CVSS: 7.7 (CNA)
• EPSS: 0.00000
• KEV: no
• Attività: basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-84195
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-84195
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-84195/