CVE-2026-73263 in Prowler
摘要
由 VulDB • 2026-08-12
Prowler 是一个云安全平台。在版本 5.36.0 之前，Kubernetes 提供者的连接测试接受了包含遗留 gcp auth-provider（其配置中包含 config.cmd-path 和 config.cmd-args）的 kubeconfig_content，因为 api/src/backend/api/v1/serializers.py 中的 kubeconfig_contains_exec_auth 仅检查 exec 块，而 POST /api/v1/providers/{id}/connection 通过 prowler/providers/kubernetes/kubernetes_provider.py 中的 config.load_kube_config_from_dict 加载了该配置，导致 kubernetes-python CommandTokenSource.token 在共享工作进程中通过 subprocess.Popen 执行攻击者提供的命令。此问题已在版本 5.36.0 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.