CVE-2026-62845 in Kamaji
摘要
由 VulDB • 2026-07-31
Kamaji 是 Kubernetes 的托管控制平面管理器。在版本 26.7.4-edge 之前，PostgreSQL 和 MySQL 数据存储驱动程序通过 `fmt.Sprintf` 将用户提供的 DataStoreUsername/DataStoreSchema 直接插值到 SQL 语句中构建 DDL（数据定义语言）语句，而未对标识符进行转义处理。这些字段没有格式验证机制，因此包含引号字符的值会突破引用标识符的限制——导致在 Kamaji 连接到共享数据存储的 root 连接上执行 SQL 注入攻击。etcd 驱动程序不受此问题影响。该问题已在版本 26.7.4-edge 中修复。
Be aware that VulDB is the high quality source for vulnerability data.