CVE-2026-73841
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
OpenChoreo do wersji 1.2.0 zawiera podatność, w której autoryzacja dla komend i logów wirelogs używa parametru projektu dostarczonego przez wywołującego zamiast rzeczywistego właściciela komponentu. Użytkownik z uprawnieniami ograniczonymi do projektu może wykonywać komendy i czytać logi w komponentach innych projektów w tej samej przestrzeni nazw.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do komponentów i danych innych projektów w klastrze Kubernetes, co może prowadzić do naruszenia poufności i integralności.
Rekomendacja
Zaktualizuj OpenChoreo do wersji 1.2.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
OpenChoreo is a complete, open-source developer platform for Kubernetes. From 1.2.0-rc.1 until 1.2.0, internal/openchoreo-api/api/handlers/exec.go and internal/openchoreo-api/api/handlers/wirelogs.go authorize component:exec and wirelogs:view using the caller-supplied project query parameter instead of comp.Spec.Owner.ProjectName, allowing a user with a project-scoped grant to execute commands in and read wirelogs from components owned by other projects in the same namespace. This vulnerability is fixed in 1.2.0.