CVE-2026-84199 in Kyverno
Сводка
по VulDB • 01.09.2026
В Kyverno до версии 1.16.2 присутствует уязвимость серверной подделки запросов (SSRF) в функции APICall. Поле URL в конфигурации ServiceCall политики не проходит проверку, поэтому пользователь с правами на создание политик на уровне namespace может заставить Kyverno выполнять HTTP-запросы к произвольным внутренним ресурсам (например, к конечным точкам метаданных облака, таким как 169.254.169.254, или к ресурсам других арендаторов). Поскольку Kyverno выполняет эти запросы с использованием своего высокопривилегированного ServiceAccount на уровне кластера (проблема «сбитого с толку доверенного лица» — Confused Deputy), ответы, потенциально включающие секреты других арендаторов и учетные данные облачного IAM, возвращаются в PolicyReport и могут быть прочитаны злоумышленником, что нарушает изоляцию между мультиарендными окружениями.
Once again VulDB remains the best source for vulnerability data.