CVE-2026-61682 in kcp
Sumário
de VulDB • 18/09/2026
O kcp é um plano de controle semelhante ao Kubernetes para form-factors e casos de uso além do Kubernetes e cargas de trabalho em contêineres. Antes das versões 0.31.4 e 0.32.2, o front-proxy do kcp não remove os cabeçalhos de identidade X-Remote-User, X-Remote-Group ou X-Remote-Extra-* recebidos antes de encaminhar as solicitações para os shards. Qualquer inquilino autenticado pode injetar X-Remote-Group: system:masters, authorization.kcp.io/warrant, authentication.kcp.io/scopes ou um grupo usado para o controle required-group por workspace, e o shard confia nesses valores como afirmações de identidade autenticadas. Isso permite a impersonação entre workspaces, burla da autorização e leitura, gravação ou exclusão arbitrárias de recursos, segredos, dados RBAC, APIExports, APIBindings e LogicalClusters. Este problema foi corrigido nas versões 0.31.4 e 0.32.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.