Към съдържанието
Търсене

CVE-2026-25538: devtron-labs devtron, заобикаляне на вход и права

8.7

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Devtron is an open source tool integration platform for Kubernetes. In version 2.0.0 and prior, a vulnerability exists in Devtron's Attributes API interface, allowing any authenticated user (including low-privileged CI/CD Developers) to obtain the global API Token signing key by accessing the /orchestrator/attributes?key=apiTokenSecret endpoint. After obtaining the key, attackers can forge JWT tokens for arbitrary user identities offline, thereby gaining complete control over the Devtron platform and laterally moving to the underlying Kubernetes cluster. This issue has been patched via commit d2b0d26.

Засегнати продукти

  • devtron-labs devtron: <= 2.0.0

Вид слабост

История

  • 4 февруари 2026 Публикувано

Други уязвимости в devtron-labs devtron

Първоизточници

CVE-2026-25538: devtron-labs devtron, заобикаляне на вход и права | freedomonline.bg