CVE-2026-100703 in Kyverno
요약
\~에 의해 VulDB • 2026. 09. 26.
Kyverno 1.16.0부터 1.19.0까지 globalcontext.Lib CEL 라이브러리를 정책 환경에 등록할 때, sibling libraries(resource.Lib, http.Lib, configMap loader)가 정책 네임스페이스를 전달받는 것과 달리 이를 정책의 네임스페이스로 제한하지 않습니다. 자신의 네임스페이스에서 namespaced policy(예: NamespacedValidatingPolicy 및 해당 namespaced mutating, deleting, generating, image-validating policy kinds 포함)를 생성할 수 있는 테넌트는 globalContext.get("<entry>", "")를 호출하여 cluster-scoped GlobalContextEntry의 전체 캐시된 내용을 받을 수 있으며, 여기에는 테넌트가 읽기 위한 RBAC 권한이 없는 네임스페이스에서 캐싱된 데이터도 포함됩니다. 이러한 호출을 거부하는 admission validation은 존재하지 않습니다. 1.19.1에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.