CVE-2026-17527
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W containerized-data-importer (CDI) skumulowana rola ClusterRole cdi.kubevirt.io:view, mająca zapewniać dostęp tylko do odczytu do zasobów CDI, zawiera regułę zezwalającą na tworzenie (create) na subzasobie datavolumes/source. Autoryzacja klonowania DataVolume w CDI uznaje to uprawnienie za wystarczające do autoryzacji klonowania zawartości dowolnego PVC, którego nazwę zna wywołujący, bez wymagania prawa zapisu do źródłowej przestrzeni nazw. Użytkownik lub konto usługi powiązane z rolą view, powszechnie nadawaną w całym klastrze przez ClusterRoleBinding, który ma również zwykły dostęp do zapisu (edit/admin) do dowolnej pojedynczej przestrzeni nazw, może wykorzystać to do wyeksfiltrowania zawartości dowolnego PVC w klastrze do kontrolowanej przez siebie przestrzeni nazw, omijając izolację przestrzeni nazw i gwarancję tylko do odczytu roli view.
Ocena ryzyka
Organizacja ryzykuje naruszeniem izolacji między przestrzeniami nazw i wyciekiem poufnych danych przechowywanych w PVC w całym klastrze Kubernetes, nawet przez użytkowników z pozornie ograniczonymi uprawnieniami.
Rekomendacja
Należy natychmiast zaktualizować containerized-data-importer (CDI) do wersji, w której usunięto nadmiarowe uprawnienia z roli view, oraz przejrzeć istniejące przypisania ClusterRoleBinding dla tej roli.
Powiązane podatności
- CVE-2026-82616Krytyczne
W routerze TOTOLINK NR1800X w wersji 9.1.0u.6681_B20230703 znaleziono podatność w funkcji setUploadSetting pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem FileName powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-77956Krytyczne
W bibliotece ash_ai projektu ash-project wykryto podatność polegającą na niekontrolowanym generowaniu kodu (Code Injection). Zdalny, nieuwierzytelniony klient może wykonać dowolny kod Elixir, ponieważ funkcja AshAi.Actions.Prompt ocenia treść promptu przez EEx.eval_string/2. Treść promptu może zawierać dane od atakującego, które są kompilowane i wykonywane jako szablon EEx, np. <%= System.cmd(...) %>. Podatność dotyczy wersji od 0.1.0 przed 1.0.0.
- CVE-2026-82593Krytyczne
W routerze D-Link DIR-825M w wersji 1.1.8 znaleziono podatność w funkcji sub_41802C pliku /boafrm/formLtefotaUpgradeFibocom, dotyczącą aktualizacji oprogramowania modułu LTE. Manipulacja argumentem fota_url powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-82592Krytyczne
Wykryto podatność w routerze D-Link DIR-825M w wersji 1.1.8. Dotyczy ona funkcji sub_46725C w pliku /boafrm/formDiskFormat w komponencie Disk Formatting Handler Endpoint. Manipulacja argumentem partition prowadzi do przepełnienia bufora na stosie. Atak może być wykonany zdalnie, a exploit jest publiczny.
- CVE-2026-82542Krytyczne
Podatność w Tenda HG10 300001138 dotyczy funkcji formIPv6Routing w pliku /boaform/admin/formIPv6Routing w komponencie Boa Web Server. Manipulacja argumentem destNet powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-82539Krytyczne
W TOTOLINK A720R w wersji 4.1.5cu.630_B20250509 wykryto podatność w funkcji setMacFilterRules pliku cstecgi.cgi komponentu MAC Filtering. Manipulacja argumentem desc może prowadzić do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15980Krytyczne
Wtyczka MyHome Core dla WordPressa do wersji 4.4.5 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania. Wynika to z braku autoryzacji w handlerze AJAX send_link() oraz nieprawidłowej walidacji tokenów w funkcji activate(). Pozwala to nieuwierzytelnionemu atakującemu wygenerować token aktywacyjny dla niepotwierdzonego konta użytkownika i uzyskać ważny cookie uwierzytelniające dla tego konta, w tym dla administratorów.
- CVE-2026-15369Krytyczne
Wtyczka Custom User Registration Fields for WooCommerce do WordPressa w wersjach do 2.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z akceptowania przez wtyczkę wartości afreg_select_user_role kontrolowanej przez atakującego z nieuwierzytelnionego żądania WooCommerce Store API /wc/store/v1/checkout, zapisywania jej w metadanych zamówienia i przekazywania bezpośrednio do WP_User::add_role() bez walidacji względem listy dozwolonych ról skonfigurowanej przez administratora. Umożliwia to nieuwierzytelnionym atakującym podniesienie uprawnień do administratora poprzez utworzenie konta podczas realizacji zamówienia ze zmodyfikowanym ciałem JSON określającym rolę administratora.
- CVE-2026-82460Krytyczne
Cloud Commander przed wersją 19.20.2 zawiera podatność na przechodzenie po katalogach w operacjach plikowych REST i endpointach markdown, która nieprawidłowo waliduje normalizację ścieżek. Atakujący mogą użyć sekwencji przechodzenia po katalogach do odczytu, zapisu, przenoszenia lub kopiowania plików poza skonfigurowanym katalogiem głównym.
- CVE-2026-82456Krytyczne
argocd-mcp 0.8.0 wiąże swój transport HTTP ze wszystkimi interfejsami sieciowymi i akceptuje sesje MCP bez wymagania poświadczeń wywołującego, gdy skonfigurowano ARGOCD_API_TOKEN. Atakujący, którzy mogą dotrzeć do nasłuchiwacza, mogą wywołać pełną powierzchnię narzędzi, używając przechowywanego tokena operatora, aby tworzyć aplikacje, żądać synchronizacji i modyfikować zasoby Argo CD.
Oryginalny opis (angielski, źródło NVD)
In containerized-data-importer (CDI), the aggregated cdi.kubevirt.io:view ClusterRole, intended to provide read-only access to CDI resources, includes a rule granting create on the datavolumes/source subresource. CDI's DataVolume clone authorization accepts this permission as sufficient to authorize cloning the contents of any PVC the caller can name, without requiring write access to the source namespace. A user or service account bound to the view role, commonly granted cluster-wide via ClusterRoleBinding, who also has ordinary write access (edit/admin) to any single namespace, can use this to exfiltrate the contents of any PVC in the cluster into a namespace they control, bypassing namespace isolation and the read-only guarantee of the view role.