CVE-2026-113727

OpenChoreo Kubernetes üçün tərtib edilmiş tərtibatçı platformasıdır. 1.0.0 versiyasından 1.0.6-ya qədər olan versiyalarda, həmçinin 1.1.7 və 1.2.5 versiyalarında, PUT .../workflowruns/{runName} yeniləmə marşrutu, URL yolu vasitəsilə saxlanılan WorkflowRun seçildiyi halda, sorğunun avtorizasiyasını göndərilmiş gövdədəki openchoreo.dev/project və openchoreo.dev/component etiketləri ilə həyata keçirir. Eyni namespace daxilində bir layihə və ya komponent üçün workflowrun:update imtiyazına malik autentifikasiya olunmuş çağırıcı, yolda başqa bir run adını qeyd edə, idarə etdiyi sahə üçün mülkiyyət etiketlərini təqdim edə və qurban run-ın mülkiyyət etiketlərini yenidən yaza bilər. Sonrakı avtorizasiya prosesi hücumçunu build loqlarını və Kubernetes hadisələrini oxumağa, run-ı silməyə, gözləyən spec.workflow.parameters parametrlərini dəyişməyə və ya run-ı daimi ComponentValidationFailed vəziyyətinə gətirməyə səlahiyyətli kimi qəbul edir. Namespace URL-dən götürüldüyü üçün problem bir namespace daxilində layihələr arası və ya komponentlər arasıdır; anonim giriş mümkün deyil və tenant-lar arası xarakter daşımır. Bu problem 1.0.6, 1.1.7 və 1.2.5 versiyalarında düzəldilmişdir.