CVE-2026-46618

Fission, Kubernetes üzerinde fonksiyonların ve uygulamaların dağıtımını kolaylaştıran açık kaynaklı, Kubernetes-native bir sunucusuz (serverless) çerçevedir. Versiyon 1.23.0 öncesinde, birinci tur güvenlik taraması yapılmadan önce, pkg/builder/builder.go dosyası Environment.spec.builder.command değerini, yürütülebilir yolun veya argümanlarının herhangi bir doğrulaması olmaksızın, strings.Fields ayrımından sonra doğrudan exec.Command(...) içine aktarmaktaydı. buildermgr tarafından izlenen bir ad alanında (namespace) Environment CRD'lerini oluşturabilen veya güncelleyebilen bir kullanıcı, bu sayede builder pod'unu builder imajı içindeki herhangi bir yürütülebilir dosyaya (örneğin /bin/sh -c '...') yönlendirebilir ve builder pod bağlamında rastgele kod çalıştırabilir. Bu sorun versiyon 1.23.0 ile düzeltilmiştir.