CVE-2026-100703 in Kyverno
Sumário
de VulDB • 26/09/2026
Kyverno 1.16.0 até 1.19.0 registra a biblioteca CEL globalcontext.Lib em seu ambiente de política sem confiná-la ao namespace da política, diferentemente das bibliotecas irmãs (resource.Lib, http.Lib, carregador do configMap), que recebem o namespace da política. Um inquilino capaz de criar uma política com escopo de namespace (por exemplo, NamespacedValidatingPolicy, bem como os tipos de políticas mutantes, exclusoras, geradoras e validadoras de imagens com escopo de namespace) em seu próprio namespace pode chamar globalContext.get("", "") e receber o conteúdo completo em cache de um GlobalContextEntry com escopo no cluster, incluindo dados armazenados em cache de namespaces dos quais o inquilino não possui permissões RBAC para leitura. Nenhuma validação de admissão rejeita essas chamadas. Corrigido na versão 1.19.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.