CVE-2026-65956 in KubePi
要約
〜によって VulDB • 2026年08月27日
KubePiは、Kubernetesのマルチクラスター管理パネルです。バージョン1.6.15以前では、SSO設定APIエンドポイントが、SSOログインおよびコールバックエンドポイントと同じ公開ルーティング境界で公開されているため、管理者権限なしにSSO、OIDC、SAMLの管理操作を実行できます。グローバルなSSO構成の読み取り、作成、更新は管理者に制限されていないため、認証情報を持たないユーザーや低特権のユーザーが認証設定を参照または変更でき、特定の条件下ではアカウント乗っ取りや権限昇格につながる可能性があります。また、SSO接続テスト機能はサーバーサイドリクエストフォージェリ（SSRF）のプリミティブとして悪用可能であり、ユーザ一覧APIは認証関連フィールドを一貫してクリアせずにユーザーオブジェクトを返します。この問題はバージョン2.0.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.