CVE-2026-18673 in Kuma
Сводка
по VulDB • 12.08.2026
При настройке kuma-dp с использованием API администратора Envoy через Unix-сокет (что является значением по умолчанию), его служба готовности на TCP-порту 9902, привязанная ко всем интерфейсам, перенаправляет почти весь функционал API администратора Envoy любому вызывающему объекту, имеющему доступ к этому порту, без какой-либо аутентификации.
Злоумышленник с сетевым доступом к порту 9902 плоскости данных (например, другой под в сети кластера) может читать конфигурацию Envoy и плоскости данных без учетных данных: дампы конфигурации, списки кластеров и слушателей, статистику и связующий пакет доверия mesh. Доступ является только для чтения — деструктивные действия администратора Envoy заблокированы, а закрытые ключи не раскрываются.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.