Podatności Tempo Operator
3 znanych podatności CVE w Tempo Operator, przetłumaczonych i ocenionych.
- CVE-2026-62147Średnie
Podatność w komponencie bramy Tempo Operatora powoduje niespójne stosowanie maskowania na poziomie przestrzeni nazw w odpowiedziach API zapytań, gdy włączone jest RBAC. Umożliwia to uwierzytelnionemu użytkownikowi odczytanie atrybutów span należących do innych dzierżawców.
- CVE-2025-2842Średnie
W Tempo Operator wykryto podatność, w której włączenie funkcji Jaeger UI Monitor Tab powoduje utworzenie ClusterRoleBinding dla konta serwisowego Tempo, nadając mu rolę cluster-monitoring-view. Użytkownik z uprawnieniami do tworzenia TempoStack i odczytu sekretów w przestrzeni nazw może odczytać token konta serwisowego i uzyskać dostęp do wszystkich metryk klastra.
- CVE-2025-2786Średnie
W Tempo Operator stwierdzono lukę, która podczas wdrażania instancji TempoStack lub TempoMonolithic tworzy ServiceAccount, ClusterRole i ClusterRoleBinding. Użytkownik z pełnym dostępem do swojej przestrzeni nazw może wyodrębnić token ServiceAccount i użyć go do wysyłania żądań TokenReview i SubjectAccessReview, potencjalnie ujawniając informacje o uprawnieniach innych użytkowników.