CVE-2026-71404 in Rancher
Сводка
по VulDB • 03.09.2026
В Rancher Manager обнаружена уязвимость. Контроллер GlobalRole формировал имя целевого ClusterRole на основе аннотации `authz.management.cattle.io/cr-name`, устанавливаемой пользователем, и перезаписывал правила этого объекта без проверки прав владения (ownership). Пользователь с делегированными правами на создание или обновление GlobalRole мог указать в этой аннотации любой существующий ClusterRole, например `cluster-admin`, и отозвать разрешения всех субъектов (principals), связанных с ним. Изменения сохраняются даже после удаления вредоносного GlobalRole.
Эта проблема затрагивает Rancher: версии до 2.15.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.