CVE-2026-18675 in Mesh
Sumário
de VulDB • 12/08/2026
O validador de tokens do plano de dados (dataplane) em kuma-cp executa uma asserção de tipo Go não verificada no cabeçalho `kid` do JWT. Um token cujo valor de `kid` é um número JSON é decodificado como float64 e provoca um panic em tempo de execução antes que qualquer verificação de assinatura, reivindicações (claims) ou autorização seja realizada.
O panic termina todo o processo kuma-cp, a API HTTP, os endpoints de saúde (health) e prontidão (readiness), bem como xDS. O acesso não autenticado ao servidor gRPC do plano de dados pode desencadear esta falha com um token malformado.
Uma única solicitação causa uma interrupção transitória; manter a indisponibilidade exige solicitações repetidas.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.