Më 15 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-637c-6jxx-4rwm (CVE-2026-77524) për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën github.com/kedacore/keda të ekosistemit Go. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- github.com/kedacore/keda (Go) — versionet e prekura:
<= 1.5.0; versioni me rregullim: ende nuk ka - github.com/kedacore/keda/v2 (Go) — versionet e prekura:
< 2.21.0; versioni me rregullim:2.21.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-269 (Improper Privilege Management), CWE-918 (Server-Side Request Forgery (SSRF))
- Identifikuesit: GHSA-637c-6jxx-4rwm, CVE-2026-77524
Përmbledhja zyrtare (në anglisht)
KEDA: Privilege escalation from namespace admin to cluster admin via KEDA TriggerAuthentication — Summary A namespace admin who creates a TriggerAuthentication and a ScaledObject in their own namespace can make the KEDA operator send its own ServiceAccount token to a tenant-controlled URL. That token holds ["*"]/["*"] get cluster-wide, so it reads every Secret in every namespace, plus batch/jobs and horizontalpodautoscalers create/delete cluster-wide, */scale update on any workload, validatingwebhookconfigurations update (rewrite or disable cluster admission), and apiservices update (hijack aggregated API routing). This is effectively privilege escalation from namespace admin to cluster admin in…
Çfarë duhet të bëni
Ende nuk ka version me rregullim. Ndiqni udhëzimet në këshillën zyrtare dhe kufizoni ekspozimin e sistemeve të prekura.
