Podatności koku-metrics-operator
3 znanych podatności CVE w koku-metrics-operator, przetłumaczonych i ocenionych.
- CVE-2026-18382Średnie
W koku-metrics-operator znaleziono błąd. Zasób niestandardowy CostManagementMetricsConfig operatora pozwala użytkownikowi mającemu możliwość edycji CR na określenie dowolnego punktu końcowego tokena OAuth. Gdy authentication.type jest ustawione na service-account, operator wysyła client_id i client_secret dzierżawcy Red Hat SSO do tego kontrolowanego przez użytkownika adresu URL, umożliwiając atakującemu przechwycenie poświadczeń.
- CVE-2026-18381Wysokie
W operatorze koku-metrics-operator dla Red Hat OpenShift znaleziono usterkę. Zasób niestandardowy CostManagementMetricsConfig umożliwia użytkownikowi z uprawnieniami do edycji CR określenie dowolnego adresu URL przesyłania. Operator dołącza własny token konta usługi Kubernetes do zapytań wysyłanych na ten adres URL, co pozwala atakującemu na uzyskanie tokena.
- CVE-2026-18378Wysokie
W operatorze koku-metrics-operator znaleziono usterkę. Zasób niestandardowy CostManagementMetricsConfig umożliwia użytkownikowi z uprawnieniami do edycji CR określenie dowolnego adresu URL przesyłania. Gdy authentication.type jest ustawiony na token (domyślnie), token bearer z globalnego pull-secret Red Hat Cloud jest dołączany do żądań HTTP wysyłanych na ten adres URL, co pozwala atakującemu na uzyskanie tokena.