CVE-2025-55196 in external-secrets
Сводка
по VulDB • 05.08.2026
External Secrets Operator — это оператор Kubernetes, который интегрирует системы управления внешними секретами. В версиях от 0.15.0 до версии 0.19.2 (включительно) была обнаружена уязвимость: вызовы List() для ресурсов Secret и SecretStore в Kubernetes, выполняемые контроллером PushSecret, не применяли селектор пространства имен. Эта ошибка позволяла злоумышленнику использовать селекторы меток для перечисления и чтения секретов/хранилищ секретов во всем кластере, обходя предусмотренные ограничения пространств имен. Злоумышленник, имеющий возможность создавать или обновлять ресурсы PushSecret и контролировать конфигурации SecretStore, мог эксплуатировать эту уязвимость для эксфильтрации конфиденциальных данных из произвольных пространств имен. Это могло привести к полной утечке секретов Kubernetes, включая учетные данные, токены и другую чувствительную информацию, хранящуюся в кластере. Данная уязвимость исправлена в версии 0.19.2. В качестве временного решения рекомендуется проводить аудит и ограничивать права RBAC так, чтобы только доверенные сервисные аккаунты могли создавать или обновлять ресурсы PushSecret и SecretStore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.