FICHE CVE

CVE-2026-26287

Publiée le 2026-10-06 · Dernière modification le 2026-10-06

🇫🇷 EN BREF

Les clusters Kubernetes utilisant les versions 0.10.0 à 1.3.1 d'External Secrets Operator sont concernés. Un attaquant disposant d'un accès authentifié de bas niveau au cluster peut contourner les vérifications d'application des labels pour lire des données sensibles provenant de services tiers qui auraient dû être restreintes. Cette exploitation est relativement facile à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur.

CVSS 3.17.1 ÉLEVÉE

Type de faiblesse

CWE-696

Publiée2026-10-06

Dernière modification2026-10-06

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. Starting in version 0.10.0 and prior to version 1.3.2, a bug in the `webhook` generator initialization order incorrectly cleared the label-enforcement flag (`EnforceLabels`) after it was set, resulting in the provider-side check for `external-secrets.io/type=webhook` being skipped (and the operation to succeed while it should have failed with `secret does not contain needed label 'external-secrets.io/type: webhook'. Update secret label to use it with webhook`. Version 1.3.2 contains a patch.