CVE-2026-50569
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 nieprawidłowo walidował pola RelativeURL i Prefix w HTTPTriggerSpec.Validate(). Te pola były weryfikowane tylko na poziomie CLI, co pozwalało na obejście kontroli URL przy użyciu kubectl lub bezpośrednich wywołań REST API Kubernetes.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które wykorzystują niewłaściwą walidację URL, co może prowadzić do nieautoryzowanego dostępu do funkcji i aplikacji działających w Kubernetes.
Rekomendacja
Zaleca się aktualizację do wersji 1.25.0 lub nowszej, aby zapewnić prawidłową walidację wszystkich pól w HTTPTriggerSpec.
Inne podatności w Fission
Zobacz wszystkie- CVE-2026-50545Krytyczne
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. W wersjach przed 1.24.0 brakowało walidacji w Environment.spec.runtime.podSpec / spec.builder.podSpec, co prowadziło do propagacji niebezpiecznych pól do generowanych podów.
- CVE-2026-50570Wysokie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 miał lukę w walidacji bezpieczeństwa PodSpec dla CRD środowiska i funkcji. Luka ta pozwalała na dodanie nieautoryzowanej możliwości CAP_SYS_TIME, co umożliwiało uruchomienie kodu kontrolowanego przez atakującego.
- CVE-2026-50567Wysokie
Fission to framework serverless oparty na Kubernetes, który przed wersją 1.25.0 miał lukę w funkcji Unarchive, umożliwiającą atakującym zapis plików w nieautoryzowanych lokalizacjach. Dzięki manipulacji nazwami archiwów, atakujący mógł zapisać pliki w katalogach innych użytkowników lub w wolumenach tajnych/konfiguracyjnych.
- CVE-2026-50565Średnie
Fission, framework serverless oparty na Kubernetes, przed wersją 1.24.0 tworzył pody budownicze z automatycznie montowanym tokenem konta usługi, co mogło prowadzić do nieautoryzowanego dostępu do zasobów. Problem został naprawiony w wersji 1.24.0.
- CVE-2026-49822Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, deweloper o niskich uprawnieniach mógł stworzyć KubernetesWatchTrigger (KWT) w swoim własnym namespace, co pozwalało na nawiązanie trwałego kanału nadzoru nad innym namespace.
- CVE-2026-49821Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, kontroler buildermgr Fission przetwarzał CRD pakietów bez weryfikacji, czy namespace w Package.spec.environment odpowiada namespace w Package.metadata.
- CVE-2026-46618Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.23.0 miał lukę w bezpieczeństwie. W pliku pkg/builder/builder.go, polecenie Environment.spec.builder.command było przekazywane bez walidacji, co umożliwiało wykonanie dowolnego kodu w kontekście podu budującego.
Oryginalny opis (angielski, źródło NVD)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.25.0, HTTPTriggerSpec.Validate() validated Methods, FunctionReference, Host, IngressConfig, and CorsConfig, but silently skipped RelativeURL and Prefix. Those two fields were validated at the CLI level only (pkg/fission-cli/cmd/httptrigger/create.go:83). The post-CRD-modernization webhook for HTTPTrigger was retired in favor of API-server CEL — and CEL had no rules on those fields either — so an HTTPTrigger created via kubectl apply or a direct Kubernetes REST API call bypassed every URL-level check. This issue has been patched in version 1.25.0.