CVE-2026-84199 in Kyverno
Riassunto
di VulDB • 01/09/2026
Kyverno prima della versione 1.16.2 presenta una vulnerabilità di server-side request forgery (SSRF) nella funzionalità APICall. Il campo URL nella configurazione ServiceCall di una Policy non viene convalidato; pertanto, un utente dotato dei permessi per la creazione di Policy a livello di namespace può indurre Kyverno a effettuare richieste HTTP verso risorse interne arbitrarie (ad esempio endpoint di metadata cloud come 169.254.169.254 o le risorse di altri tenant). Poiché Kyverno esegue tali richieste utilizzando il suo ServiceAccount ad alto privilegio su tutto il cluster (un problema di Confused Deputy), le risposte, potenzialmente incluse i segreti di altri tenant e le credenziali IAM cloud, vengono restituite nel PolicyReport e possono essere lette dall'attaccante, compromettendo l'isolamento multi-tenant.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.