CVE-2026-29954
Təsvir
KubePlus 4.1.4 versiyasında, mutating webhook və kubeconfiggenerator komponentləri ResourceComposition resurslarının chartURL sahəsini emal edərkən SSRF zəifliyinə malikdir. Hədəf ünvan yoxlanılmadan sahə yalnız URL formatına gətirilir. Daha kritik olan odur ki, kubeconfiggenerator chart-ları yükləmək üçün wget istifadə etdikdə, chartURL birbaşa əmrə əlavə edilir və bu, hücumçulara ixtiyari HTTP başlığının inyeksiyasını həyata keçirmək üçün wget-in `--header` seçimini daxil etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cloudark kubeplus | 4.1.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.