CVE-2026-71208 in KubeSphere
Tóm tắt
Bởi VulDB • 05/08/2026
Cơ chế reconciliation của cluster-controller trong KubeSphere (pkg/utils/clusterclient/clusterclient.go, addCluster) xử lý cấu hình kết nối cho mọi tài nguyên tùy chỉnh Cluster và ngay lập tức gọi Discovery().ServerVersion() đối với điểm cuối Kubernetes API được chỉ định bởi CRD. Điểm cuối này chỉ được phân tích cú pháp URL bằng url.Parse mà không có danh sách trắng (allow-list) hoặc danh sách đen (deny-list) để chặn các địa chỉ vòng lặp lại (loopback), dải riêng RFC1918, link-local, hoặc các địa chỉ metadata đám mây (ví dụ: 169.254.169.254). Người dùng có khả năng tạo hoặc cập nhật Cluster CRD có thể buộc các pod controller-manager và apiserver thực hiện các yêu cầu outbound đến bất kỳ điểm cuối nội bộ nào hoặc endpoint metadata tùy ý.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.