CVE-2026-45021
Açıklama
Kuma, Kubernetes ve VM'ler genelinde her bulutta çalışabilen, Envoy tabanlı modern bir servis ağıdır. 2.7.25, 2.9.15, 2.11.13, 2.12.10 ve 2.13.5 sürümlerinden önce, varsayılan kuma-cp yapılandırması, kontrol düzlemi operatörün tarayıcısından erişilebilir olduğu sürece operatörün ziyaret ettiği herhangi bir web sayfasına admin bootstrap token'ını ve imzalama anahtarlarını sızdırır. CorsAllowedDomains: [".*"] herhangi bir Origin'i yansıtır ve LocalhostIsAdmin: true, 127.0.0.1'den gelen istekleri mesh-system:admin'e yükseltir. Kötü amaçlı bir sayfadan yapılan siteler arası fetch() çağrısı, admin JWT'sini ve imzalama materyalini döndürür. Bu güvenlik açığı 2.7.25, 2.9.15, 2.11.13, 2.12.10 ve 2.13.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kumahq kuma | < 2.7.25, >= 2.9.0, < 2.9.15, >= 2.11.0, < 2.11.13, >= 2.12.0, < 2.12.10, >= 2.13.0, < 2.13.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.