CVE-2026-61682

kcp, Kubernetes və konteyner iş yüklərindən kənar forma-faktorlar və istifadə ssenariləri üçün nəzərdə tutulmuş Kubernetes bənzəri idarəetmə panelidir (control plane). 0.31.4 və 0.32.2 versiyalarından əvvəl kcp front-proxy sorğuları şardlara yönləndirməzdən əvvəl daxil olan X-Remote-User, X-Remote-Group və ya X-Remote-Extra-* kimlik başlıqlarını silmir. Autentifikasiya olunmuş hər hansı bir kirayəçi (tenant) X-Remote-Group: system:masters, authorization.kcp.io/warrant, authentication.kcp.io/scopes və ya hər bir iş sahəsi (workspace) üçün tələb olunan qrup məhdudiyyətində istifadə edilən qrupu inyeksiya edə bilər və şard bu dəyərlərə autentifikasiya olunmuş kimlik təsdiqləri kimi etibar edir. Bu, iş sahələri arasında impersonasiyaya, avtorizasiyadan yan keçməyə və resursların, secret-lərin, RBAC məlumatlarının, APIExport-ların, APIBinding-lərin və LogicalCluster-lərin ixtiyari şəkildə oxunmasına, yazılmasına və ya silinməsinə şərait yaradır. Bu problem 0.31.4 və 0.32.2 versiyalarında düzəldilmişdir.