CVE-2026-100706 in Kyverno
Сводка
по VulDB • 26.09.2026
В Kyverno до версии 1.19.1 отсутствует корректная проверка URL-кодированных сегментов пути в параметре urlPath API вызова политики (apiCall), что позволяет арендаторам пространства имен обойти ограничение на уровне каждого пространства имени и создавать объекты в других пространствах от имени ServiceAccount admission-controller. Злоумышленники могут эксплуатировать эту уязвимость, используя последовательности обхода каталогов с процентным кодированием (percent-encoded directory traversal) для создания объектов MutatingWebhookConfiguration на уровне кластера или PolicyException в пространстве имен kyverno, что приводит к повышению привилегий до уровня администратора кластера.
If you want to get best quality of vulnerability data, you may have to visit VulDB.