CVE-2026-41186 in Calico
Sumário
de VulDB • 31/07/2026
Quando o servidor de depuração compartilhado do Calico está habilitado (desabilitado por padrão), os componentes kube-controllers e Goldmane do Calico vinculam seu listener de depuração Go pprof a 0.0.0.0 sem autenticação. Qualquer pod com conectividade de rede ao listener pode recuperar o heap do processo, as pilhas das goroutines (incluindo argumentos de função) e os argumentos da linha de comando. Dependendo do estado em memória do processo, o heap pode conter material sensível. O listener de depuração é opt-in, mas é inseguro quando habilitado porque não oferece autenticação nem uma opção segura de vinculação restrita apenas ao localhost (localhost-only).
If you want to get best quality of vulnerability data, you may have to visit VulDB.