CVE-2026-61850
Kargo: Privilege escalation via Project RBAC management in the Kargo API
CVSS 3.1Medium
9.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить Kargo до версий 1.8.14, 1.9.9, 1.10.8 или новее.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В API Kargo обнаружено повышение привилегий при управлении RBAC на уровне проекта. Пользователь с правами управления ролями может присвоить себе или сторонним субъектам избыточные полномочия.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
API-сервер Kargo при обработке сущностей Roles и ServiceAccounts проводит лишь проверку типов ресурсов и выполняет действия с широкими правами своего сервисного аккаунта, не сопоставляя делегируемые права с полномочиями инициатора запроса.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Повышение привилегий до администратора проекта Kargo, захват управления проектными пайплайнами, утечка проектных секретов, токенов Git и реестров контейнеров.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (9)
- github.comhttps://github.com/akuity/kargo/security/advisories/GHSA-wp4p-hr79-q4g8
- github.comhttps://github.com/akuity/kargo/commit/19639678811b486bddb014dabb25397771f3941e
- github.comhttps://github.com/akuity/kargo/commit/50d29c10153965114f903645c83eadbe7bf58d3f
- github.comhttps://github.com/akuity/kargo/commit/5ab7c4216a4151f55ea8ef9ff3b9f884dd322578
- github.comhttps://github.com/akuity/kargo/commit/72fadd3600b35e6dce67042eb686720a48b45fa3
- github.comhttps://github.com/akuity/kargo/releases/tag/v1.10.8
- github.comhttps://github.com/akuity/kargo/releases/tag/v1.11.0-rc.1
- github.comhttps://github.com/akuity/kargo/releases/tag/v1.8.14
- github.comhttps://github.com/akuity/kargo/releases/tag/v1.9.9
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-61850: Kargo: Privilege escalation via Project RBAC management in the Kargo API. URL: https://cve.futuretools.ru/cve/CVE-2026-61850
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_61850,
title = {{CVE-2026-61850: Kargo: Privilege escalation via Project RBAC management in the Kargo API}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-61850}},
note = {Оперативный инженерный анализ киберугроз}
}