CVE-2026-19130
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W komponencie provider-credential-controller w multicluster-engine (MCE) znaleziono błąd. Atakujący z określonymi uprawnieniami na klastrze hub i znajomością poprzedniej wartości poświadczeń może wykorzystać obejście autoryzacji. Manipulując etykietami `copiedFrom`, atakujący może przechwycić nowo rotowane poświadczenia dostawcy, prowadząc do nieautoryzowanego ujawnienia informacji.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do wrażliwych poświadczeń, co może prowadzić do kompromitacji klastra.
Rekomendacja
Zaktualizuj multicluster-engine do wersji zawierającej poprawkę obejścia autoryzacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the provider-credential-controller component of multicluster-engine (MCE). An attacker with specific permissions on the hub cluster, and knowledge of a prior credential value, could exploit an authorization bypass vulnerability. By manipulating `copiedFrom` labels, the attacker could intercept newly rotated provider credentials, leading to unauthorized information disclosure. This allows access to sensitive credentials that should otherwise be protected.