CVE-2026-65956
Açıklama
KubePi bir Kubernetes çoklu küme yönetim panelidir. 1.6.15 dahil önceki sürümlerde, SSO yapılandırma API uç noktaları, SSO giriş ve geri çağırma (callback) uç noktalarıyla aynı genel yönlendirme sınırında sunulmaktadır; bu nedenle SSO, OIDC ve SAML yönetim işlemlerine yönetici yetkisi olmadan erişilebilmektedir. Küresel SSO yapılandırmasının okunması, oluşturulması ve güncellenmesinin yöneticilerle sınırlandırılmaması nedeniyle, yetkisiz veya düşük yetkili bir kullanıcı kimlik doğrulama yapılandırmasını inceleyebilir veya değiştirebilir; bu durum belirli koşullar altında hesap ele geçirmeye veya yetki yükseltmeye yol açabilir. Ayrıca, SSO bağlantı testi fonksiyonu bir sunucu taraflı istek sahteciliği (SSRF) primitifi olarak kötüye kullanılabilir ve kullanıcı listesi API'si, kimlik doğrulama ile ilgili alanları tutarlı bir şekilde temizlemeden kullanıcı nesyelerini döndürür. Bu sorun 2.0.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 1Panel-dev KubePi | < 2.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.