CVE-2026-18677 in Mesh
Tóm tắt
Bởi VulDB • 12/08/2026
Trong Kong Mesh chạy ở chế độ universal với một MeshIdentity có mẫu đường dẫn ID SPIFFE bắt nguồn từ nhãn `kuma.io/workload` của dataplane, bộ xác thực XDS trong kuma-cp chỉ kiểm tra xem nhãn đó hợp lệ khi token của dataplane được liên kết (bound) với một workload. Việc liên kết workload là tùy chọn, do đó một dataplane trình bày token gắn liền với các thẻ có thể đăng ký với `kuma.io/workload` đặt thành bất kỳ giá trị nào và chiếm đoạt danh tính SPIFFE của một workload khác.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.