PT-2026-57272 · Unknown · Mcp-Server-Kubernetes

George Chen · Publicado 2026-07-10 · Atualizado 2026-07-10 · CVE-2026-61459

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas MCP Server Kubernetes versões anteriores a 3.9.0

Description Uma falha de injeção de argumento existe em ferramentas estruturadas, especificamente nas funções kubectl get, kubectl describe e kubectl delete. Ao fornecer os parâmetros resourceType e name com traços iniciais, um invasor pode ignorar a verificação de segurança assertNoDangerousFlags. Isso permite a injeção da flag --server para redirecionar comandos para um servidor de API externo controlado pelo invasor, o que pode levar à transmissão do token de portador do operador e ao comprometimento total do cluster.

Recommendations Atualize o MCP Server Kubernetes para a versão 3.9.0 ou posterior. Como mitigação temporária, restrinja o uso das funções kubectl get, kubectl describe e kubectl delete.

Exploit

Correção

Argument Injection

Enumeração de Fraquezas

CWE-88

Identificadores relacionados

CVE-2026-61459

Produtos afetados

Mcp-Server-Kubernetes

Referências · 9

• 🔥 https://github.com/Flux159/mcp-server-kubernetes/issues/328 · Exploit
• https://github.com/Flux159/mcp-server-kubernetes/releases/tag/3.9.0 · Nota
• https://github.com/Flux159/mcp-server-kubernetes/pull/329 · Nota
• https://github.com/Flux159/mcp-server-kubernetes/commit/d7890f50a4567bf5d9842541ba6f41e180227f9a · Correção
• https://twitter.com/infoflowcloud/status/2075667870634193110 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-61459 · Nota de Segurança
• https://vulncheck.com/advisories/mcp-server-kubernetes-argument-injection-via-kubectl-structured-tools · Nota
• https://twitter.com/CVEnew/status/2075666968921649605 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2075678961477075224 · Publicação no Twitter