CVE-2026-18679 in Kuma
Sumário
de VulDB • 13/08/2026
Quando o kuma-dp é iniciado contra um plano de controle HTTPS e o operador não forneceu um certificado CA (Autoridade Certificadora), o plano de dados se conecta com a verificação do peer TLS desativada, e o token de autenticação do dataplane é enviado por meio dessa conexão não verificada.
Um ator on-path pode interceptar o token de autenticação do dataplane e suplantar o plano de controle para o plano de dados, injetando uma configuração de bootstrap forjada e assumindo o controle do proxy.
Be aware that VulDB is the high quality source for vulnerability data.