CVE-2026-55175
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Spinnaker przed wersjami 2026.1.1, 2026.0.3, 2025.4.4 i 2025.3.4 zawiera podatność w operacjach Kustomize bake, która umożliwia niebezpieczne przetwarzanie znaczników YAML w manifestach rosco. Może to prowadzić do zdalnego wykonania kodu na podach rosco podczas wykonywania Kustomize bake.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu na podach rosco, co może skutkować przejęciem kontroli nad środowiskiem ciągłego dostarczania i dostępem do wrażliwych danych.
Rekomendacja
Należy niezwłocznie zaktualizować Spinnaker do jednej z załatanych wersji: 2026.1.1, 2026.0.3, 2025.4.4 lub 2025.3.4, w zależności od używanej linii wydań.
Inne podatności w Spinnaker
Zobacz wszystkie- CVE-2026-44795Wysokie
Podatność w Spinnaker umożliwia zdalne wykonanie kodu poprzez niebezpieczne przetwarzanie YAML podczas korzystania z CloudFormation lub CloudFoundry. Użycie niebezpiecznego konstruktora pozwala na ładowanie dowolnych klas Java, co prowadzi do zdalnego wykonania kodu.
- CVE-2023-39348Średnie
Spinnaker, platforma do ciągłego dostarczania w chmurze, ma problem z logowaniem, gdzie status GitHub jest zawsze rejestrowany w pełni. To może prowadzić do ujawnienia tokenów GitHub w systemie logowania.
Oryginalny opis (angielski, źródło NVD)
Spinnaker is an open source, multi-cloud continuous delivery platform. Prior to versions 2026.1.1, 2026.0.3, 2025.4.4, and 2025.3.4 on their respective release lines, Kustomize bake operations allow unsafe YAML tag processing in rosco manifests. This can lead to remote code execution on rosco pods when performing Kustomize bakes. This issue is fixed in versions 2026.1.1, 2026.0.3, 2025.4.4, and 2025.3.4.