Към съдържанието
Търсене

CVE-2026-42876: external-secrets, заобикаляне на вход и права

4.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. Prior to 2.4.1, a user who only has permission to create ExternalSecret resources can cause the operator to create a Secret that Kubernetes will automatically populate with a long-lived token for the specified service account. This effectively allows the user to impersonate any service account in the namespace without needing direct create permissions on TokenRequest or Secrets of that type. This vulnerability is fixed in 2.4.1.

Засегнати продукти

  • external-secrets external-secrets: < 2.4.1

Вид слабост

История

  • 11 май 2026 Публикувано

Други уязвимости в external-secrets external-secrets

Първоизточници

CVE-2026-42876: external-secrets, заобикаляне на вход и права | freedomonline.bg