Към съдържанието
Търсене

CVE-2026-18674: Kong Inc. Kong Mesh, заобикаляне на вход и права

7.0

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

On a Kong Mesh global control plane, resources received over the zone-to-global KDS sync are attributed using the in-band, sender-controlled ControlPlane.Identifier rather than the authenticated zone identity derived from the connection. Authenticated zones can have the global control plane store and re-distribute those resources as belonging to another zone. The result is a cross-zone isolation bypass: the holder of a single enrolled zone's credential can inject, attribute, and overwrite resources in another zone's namespace mesh-wide. The root cause lives in Kuma's open-source KDS sync code, which Kong Mesh's control plane is built on.

Засегнати продукти

  • Kong Inc. Kong Mesh: преди 2.7.29; 2.8.0 преди 2.9.19; 2.10.0 преди 2.11.18; 2.12.0 преди 2.12.14; 2.13.0 преди 2.13.10; 2.14.0 преди 2.14.2

Вид слабост

История

  • 17 август 2026 Публикувано

Други уязвимости в Kong Inc. Kong Mesh

Първоизточници

CVE-2026-18674: Kong Inc. Kong Mesh, заобикаляне на вход и права | freedomonline.bg