CVE-2026-88804

Podatność w zarządzaniu uprawnieniami w SUSE Rancher pozwalała standardowym użytkownikom wykorzystać istniejące uprawnienia do manipulowania sekretami Kubernetes w klastrze lokalnym, powodując usunięcie sekretu przy zachowaniu uprawnień do jego odczytu. W połączeniu z innymi specjalnie spreparowanymi poleceniami mogło to umożliwić użytkownikowi uzyskanie dostępu do tokenów kont usług w klastrze lokalnym. Problem dotyczy Rancher >= 2.6.0 < 2.6.13 oraz >= 2.7.0 < 2.7.4.

W SUSE Rancher 2.15 przed 2.15.2 występuje podatność polegająca na nieprawidłowym czyszczeniu poświadczeń podczas wylogowania. Zdalny atakujący może zachować poświadczenia dostępu nawet po wylogowaniu konta, co może prowadzić do nieautoryzowanego dostępu do systemu.

Podatność w SUSE Rancher związana z nieprawidłowym zarządzaniem uprawnieniami powoduje, że zmiany uprawnień w Azure AD nie są odzwierciedlane dla zalogowanych użytkowników w interfejsie Rancher. Użytkownicy zachowują poprzednie uprawnienia, nawet po zmianie grupy lub usunięciu z grupy w Azure AD. Dotyczy Rancher od 2.6.7 do < 2.6.13 oraz od 2.7.0 do < 2.7.4.

W SUSE Rancher występuje podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych), która pozwala użytkownikom z niektórych grup o wyższych uprawnieniach wstrzykiwać kod wykonywany w przeglądarce innego użytkownika. Może to umożliwić kradzież poufnych informacji, manipulację treścią lub inne złośliwe działania w imieniu ofiary, w tym działania jako administrator po otwarciu przez niego zainfekowanej strony. Podatność dotyczy Rancher od >= 2.6.0 przed < 2.6.13 oraz od >= 2.7.0 przed < 2.7.4.