CVE-2026-88805

W SUSE Rancher (wersje 2.15 przed 2.15.2, 2.14 przed 2.14.6, 2.13 przed 2.13.10, 2.12 przed 2.12.14, 2.11 przed 2.11.18) nieuwierzytelniona aktualizacja publicznych ustawień UI może być wykorzystana przez zdalnych atakujących do przeprowadzenia ataku typu stored cross-site scripting (XSS) w interfejsie Rancher.

Podatność w zarządzaniu uprawnieniami w SUSE Rancher pozwalała standardowym użytkownikom wykorzystać istniejące uprawnienia do manipulowania sekretami Kubernetes w klastrze lokalnym, powodując usunięcie sekretu przy zachowaniu uprawnień do jego odczytu. W połączeniu z innymi specjalnie spreparowanymi poleceniami mogło to umożliwić użytkownikowi uzyskanie dostępu do tokenów kont usług w klastrze lokalnym. Problem dotyczy Rancher >= 2.6.0 < 2.6.13 oraz >= 2.7.0 < 2.7.4.

Podatność w SUSE Rancher związana z nieprawidłowym zarządzaniem uprawnieniami powoduje, że zmiany uprawnień w Azure AD nie są odzwierciedlane dla zalogowanych użytkowników w interfejsie Rancher. Użytkownicy zachowują poprzednie uprawnienia, nawet po zmianie grupy lub usunięciu z grupy w Azure AD. Dotyczy Rancher od 2.6.7 do < 2.6.13 oraz od 2.7.0 do < 2.7.4.

W SUSE Rancher występuje podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych), która pozwala użytkownikom z niektórych grup o wyższych uprawnieniach wstrzykiwać kod wykonywany w przeglądarce innego użytkownika. Może to umożliwić kradzież poufnych informacji, manipulację treścią lub inne złośliwe działania w imieniu ofiary, w tym działania jako administrator po otwarciu przez niego zainfekowanej strony. Podatność dotyczy Rancher od >= 2.6.0 przed < 2.6.13 oraz od >= 2.7.0 przed < 2.7.4.