O Operador Flux é um controlador de CRD do Kubernetes que gerencia o ciclo de vida do CD Flux CNPF e a distribuição empresarial ControlPlane. Começando na versão 0.36.0 e antes da versão 0.40.0, existe uma vulnerabilidade de escalada de privilégios no código de autenticação da interface da Internet do Operador Flux que permite que um atacante contorne a imitação do Kubernetes RBAC e execute pedidos de API com os privilégios da conta de serviço do operador. Para ser vulnerável, os administradores de clusters devem configurar o Operador Flux com um provedor OIDC que efetua tokens que não tenham as reivindicações esperadas (por exemplo, "email", "grupos") ou configurar expressões CEL personalizadas que possam avaliar para valores vazios. Após as reivindicações de tokens da OIDC serem processadas através de expressões CEL, não há validação de que os valores de ` usename` e `groups' resultantes não estão vazios. Quando ambos os valores estão vazios, a biblioteca cliente- go do Kubernetes não adiciona cabeçalhos de imitação às solicitações da API, fazendo com que sejam executados com as credenciais da conta de serviço de fluxo- operador em vez das permissões limitadas do usuário autenticado. Isto pode resultar em escalada de privilégios, exposição de dados e/ ou divulgação de informações. Versão 0.40.0 - O problema é corrigido. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 23990 foi publicado em 2026 - 01 - 21 T 23: 15: 52.930 Z e última modificação em 2026 - 06 - 17 T 10: 22: 26.267 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 5.3, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N, pontuação de exploração 1.6, pontuação de impacto 3.6; CVSS. Classificações de fraqueza associadas: CWE- 269, CWE- 862.
Produtos ou plataformas nomeados nos dados de aplicabilidade incluem: operador de fluxo de plano de controle.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.