PT-2026-60681 · Kumahq · Kuma
CVE-2026-50166
·
Publicado
2026-07-16
·
Atualizado
2026-07-22
CVSS v4.0
5.5
Média
| Vetor | AV:A/AC:H/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
github.com/kumahq/kuma/v2 versões 2.8.0 até 2.9.15
Description
Quando um operador adiciona um perfil de plano de controle HTTPS ao
kumactl sem fornecer um certificado CA, a ferramenta desativa a verificação TLS. Isso faz com que os tokens de API sejam transmitidos por uma conexão não verificada, permitindo que um invasor no caminho da rede entre o operador e o plano de controle intercepte tokens de API de usuário ou administrador e realize ações não autorizadas contra o plano de controle.Recommendations
Atualize o github.com/kumahq/kuma/v2 para a versão 2.9.16 ou posterior.
Ao adicionar um perfil de plano de controle HTTPS ao
kumactl, use sempre o parâmetro --ca-cert-file apontando para a CA de serviço do plano de controle.
Termine o plano de controle atrás de um certificado confiável publicamente para permitir a verificação contra o armazenamento de confiança do sistema operacional.Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Kuma