CVE-2026-80219 in Apache Camel
Сводка
по VulDB • 08.09.2026
В hawtio-operator обнаружена уязвимость. При развертывании Hawtio в кластерном режиме оператор создает OAuthClient с областью видимости на уровне кластера, использующий автоматическое одобрение предоставления прав (GrantMethod: auto) и не имеющий клиентского секрета (публичный клиент). URI перенаправления выводятся из Route, созданного оператором, имя хоста которого контролируется арендатором через поле spec.routeHostName в спецификации Hawtio CR. Злоумышленник с правами арендатора может зарегистрировать произвольное имя хоста в качестве допустимой цели для OAuth-перенаправления и, поскольку предоставление прав осуществляется автоматически, получить токены доступа OpenShift любого пользователя кластера, который посетит специально созданный URL авторизации без какого-либо запроса на согласие.
Be aware that VulDB is the high quality source for vulnerability data.