CVE-2026-44245
Açıklama
Kyverno, bulut yerli platform mühendisliği ekipleri için tasarlanmış bir politika motorudur. 2.5.2 sürümünden önce, Vue 3'ün v-html direktifi ham HTML eklemek için çerçeve tarafından belgelenmiş mekanizmadır ve {{ }} interpolasyonunun sağladığı otomatik kaçış işlemini kasıtlı olarak devre dışı bırakır. PropertyCard.vue bileşeni, URL kontrolünün else dalı için v-html kullanmaktadır; bu da URL olmayan herhangi bir dize değerinin doğrudan HTML olarak DOM'a aktarıldığı anlamına gelir. isURL() koruması yalnızca http: veya https: URL'leri olarak ayrıştırılan değerleri filtreler, dolayısıyla bu şemalarla başlamayan herhangi bir HTML yükü bu korumayı tamamen atlatır. Veriler, politika motorları tarafından doldurulan ve potansiyel olarak kümedeki PolicyReport nesnelerine yazma erişimi olan herhangi bir yetkili tarafından girilebilen rastgele dize haritaları olan Kubernetes PolicyReport .results[].properties alanlarından kaynaklanmaktadır. Bu güvenlik açığı 2.5.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- kyverno policy-reporter-ui2.5.2 ya da sonraki bir sürüm
- github.com/kyverno/policy-reporter-ui2.5.2, 2.5.2+incompatible ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kyverno policy-reporter-ui | v < 2.5.2 | 2.5.2 |
| github.com/kyverno/policy-reporter-uiGo | v < 2.5.2, v < 2.5.2+incompatible | 2.5.2, 2.5.2+incompatible |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.