CVE-2026-26287
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
External Secrets Operator w wersjach od 0.10.0 do 1.3.1 zawiera błąd w inicjalizacji generatora webhook, który czyści flagę EnforceLabels po jej ustawieniu. Powoduje to pominięcie sprawdzenia etykiety external-secrets.io/type=webhook, umożliwiając operację, która powinna zakończyć się błędem. Wersja 1.3.2 zawiera poprawkę.
Ocena ryzyka
Ryzyko obejmuje możliwość użycia sekretów bez wymaganej etykiety, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację External Secrets Operator do wersji 1.3.2 lub nowszej.
Inne podatności w External Secrets Operator
Zobacz wszystkie- CVE-2026-22822Wysokie
Podatność w External Secrets Operator (wersje 0.20.2 do 1.2.0) pozwala na ominięcie mechanizmów bezpieczeństwa dzięki funkcji `getSecretKey`, która umożliwia pobieranie sekretów z innych przestrzeni nazw (namespace) przy użyciu roli wiązania (roleBinding) kontrolera. Funkcja ta została całkowicie usunięta w wersji 1.2.0.
- CVE-2025-62159Wysokie
W External Secrets Operator w wersjach 0.10.1 do 0.19.2 dostawca BeyondTrust pobierał sekrety Kubernetes bez walidacji kontekstu namespace i typu secret store. Umożliwiało to nieautoryzowany dostęp do sekretów między namespace'ami, naruszając granice bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. Starting in version 0.10.0 and prior to version 1.3.2, a bug in the `webhook` generator initialization order incorrectly cleared the label-enforcement flag (`EnforceLabels`) after it was set, resulting in the provider-side check for `external-secrets.io/type=webhook` being skipped (and the operation to succeed while it should have failed with `secret does not contain needed label 'external-secrets.io/type: webhook'. Update secret label to use it with webhook`. Version 1.3.2 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS