同じ製品で同じ時期に公表された 7 件の脆弱性の 1 つです。まとめた解説: Kyvernoに脆弱性7件、権限昇格など。修正版1.19.2あり
重大
9.9
Kyverno from 1.16.0 before 1.19.2 fails to validate path segments in the resource argument of...
CVE-2026-122311
SecPulse初出
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| kyverno | kyverno |
1.16.0 以上 1.19.2 未満 |
1.19.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Kyverno from 1.16.0 before 1.19.2 fails to validate path segments in the resource argument of resource.get() and resource.post(), allowing namespaced CEL policies to escape their namespace. Tenants who can create a NamespacedValidatingPolicy can insert .. segments to read and write arbitrary cluster objects using the admission controller's ServiceAccount, leading to cluster takeover.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com