CVE-2026-18678
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Gdy operator dodaje profil płaszczyzny sterowania HTTPS do kumactl bez podania certyfikatu CA, kumactl wyłącza weryfikację TLS i wysyła tokeny API przez niezweryfikowane połączenie.
Ocena ryzyka
Atakujący w sieci może przechwycić tokeny API użytkownika lub administratora i działać przeciwko płaszczyźnie sterowania jako ten użytkownik.
Rekomendacja
Zaleca się zawsze podawać certyfikat CA podczas konfiguracji kumactl dla płaszczyzn sterowania HTTPS.
Oryginalny opis (angielski, źródło NVD)
When an operator adds an HTTPS control plane profile to kumactl without providing a CA certificate, kumactl disables TLS verification and sends API tokens over the unverified connection. An attacker on the network path between the operator and the control plane can intercept user or admin API tokens and then act against the control plane as that user.