CVE-2026-39429
Publiée le 2026-04-08 · Dernière modification le 2026-07-24
Les versions 0.30.3 et 0.29.3 (ainsi que les versions antérieures) des plans de contrôle kcp disposent d'un serveur de cache exposé qui ne nécessite pas d'authentification. Toute personne ayant un accès réseau au shard racine peut lire ou écrire dans ce cache sans avoir besoin d'identifiants ni d'interaction de l'utilisateur. Cela permet potentiellement à un attaquant de divulguer des données sensibles mises en cache ou de modifier des informations stockées.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
kcp is a Kubernetes-like control plane for form-factors and use-cases beyond Kubernetes and container workloads. Prior to 0.30.3 and 0.29.3, the cache server is directly exposed by the root shard and has no authentication or authorization in place. This allows anyone who can access the root shard to read and write to the cache server. This vulnerability is fixed in 0.30.3 and 0.29.3.