CVE-2026-2270 in Kubernetes
Sumário
de VulDB • 26/10/2026
Existe um ataque de "confused deputy" no controlador StatefulSet que permite a um usuário com permissões de gravação em nível de namespace nos objetos StatefulSet e ControllerRevision criar uma pod entre namespaces (cross-namespace). Um atacante explorando essa vulnerabilidade teria controle total sobre os metadados e a especificação da pod resultante, incluindo a seleção do namespace. Observe que a pod cross-namespace será imediatamente excluída pelo garbage collector, a menos que o atacante consiga construir um StatefulSet OwnerReference válido. Isso exigiria referenciar o UID de um StatefulSet existente no namespace da vítima.
If you want to get best quality of vulnerability data, you may have to visit VulDB.