CVE-2026-72526 — Katalog CVE

csirt@kutim:~/threat-intel/cve/CVE-2026-72526

CVSS 9.9 · Critical EPSS 0,71%

Kerentanan Unintended Proxy or Intermediary ('Confused Deputy'). Skor CVSS 3.1 9.9 (Critical) menurut redhat.com.

Deskripsi (NVD)

A flaw was found in the multicloud-integrations component. The Application propagation controller processes the `ocm-managed-cluster` annotation from an Application Custom Resource (CR) without proper validation. A tenant with permissions to create Applications on the hub cluster can exploit this to target arbitrary managed clusters. This can force ArgoCD on the spoke clusters to synchronize attacker-controlled manifests, leading to arbitrary code execution or privilege escalation on those clusters.

Rincian

Terbit di NVD: 12 Agustus 2026
Terakhir diubah: 27 Agustus 2026
Status NVD: Awaiting Analysis
CVSS 3.1: 9.9 (Critical), sumber redhat.com
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-441: Unintended Proxy or Intermediary ('Confused Deputy')
EPSS (30 hari): 0,71% peluang dieksploitasi; lebih tinggi dari 52,1% CVE lain

Produk dan versi terdampak

NVD belum mencantumkan data produk (CPE) untuk CVE ini. Produk yang terdampak biasanya disebut di deskripsi dan di advisory vendor pada daftar referensi.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.