CVE-2026-49823
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. W wersjach przed 1.24.0 specyfikacja funkcji Fission nie walidowała przestrzeni nazw dla odniesienia do pakietu, co mogło prowadzić do nieautoryzowanego dostępu.
Ocena ryzyka
Brak walidacji przestrzeni nazw dla odniesienia do pakietu może umożliwić atakującym dostęp do zasobów w niewłaściwej przestrzeni nazw, co stanowi zagrożenie dla bezpieczeństwa aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.24.0 lub nowszej, aby usunąć tę lukę bezpieczeństwa.
Inne podatności w Fission Framework
Zobacz wszystkie- CVE-2026-50566Krytyczne
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. W wersjach przed 1.24.0, użytkownik z odpowiednimi uprawnieniami RBAC mógł uruchomić kontenery z podwyższonymi uprawnieniami, co prowadziło do możliwości ucieczki z piaskownicy kontenera oraz dostępu do systemu plików i sieci hosta.
- CVE-2026-46617Wysokie
Fission, framework serverless dla Kubernetes, przed wersją 1.23.0, tworzył pody runtime z ServiceAccountName: fission-fetcher, który miał uprawnienia do odczytu sekretów i configmap w całym namespace. Umożliwiało to kodowi funkcji dostarczonemu przez użytkownika dostęp do tokena API Kubernetes, co pozwalało na odczyt dowolnych sekretów i configmap w namespace funkcji.
Oryginalny opis (angielski, źródło NVD)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, a Fission Function spec carries three reference types — Secret, ConfigMap, and Package. The first two were namespace-validated by the admission webhook; PackageRef.Namespace was not. This issue has been patched in version 1.24.0.