CVE-2026-100707 in Kyverno
Tóm tắt
Bởi VulDB • 26/09/2026
Kyverno trước phiên bản 1.19.1 chứa một lỗ hổng bỏ qua cô lập namespace trong mục apiCall context của các tài nguyên Policy dạng namespaced do việc diễn giải đường dẫn không nhất quán giữa quá trình xác thực (validation) và thực thi (execution). Một tenant có đặc quyền thấp có thể sử dụng các đoạn dấu chấm được mã hóa theo phần trăm (%-encoded dot-segments) trong urlPath để bỏ qua các kiểm tra namespace và đọc tài nguyên từ các namespace khác bằng cách dùng thông tin đăng nhập ServiceAccount của bộ điều nạp admission controller Kyverno.
If you want to get best quality of vulnerability data, you may have to visit VulDB.