Kargo: falhas na API de controlo de acesso por projeto permitem escalar privilégios
O Kargo, de versões 0.6.0 a antes de 1.8.14, 1.9.9 e 1.10.8, permite a um utilizador com permissão para gerir Roles ou ServiceAccounts de um projeto conceder-se permissões que não tem. O NVD ainda não publicou a pontuação CVSS.
- Identificador: CVE-2026-61850
- Publicado em: 2026-10-30
- Pontuação CVSS: ainda não publicada pelo NVD
Descrição (texto original em inglês):
Kargo manages and automates the promotion of software artifacts. From 0.6.0 until 1.8.14, 1.9.9, and 1.10.8, two authorization flaws in the 'project-scoped RBAC API' let an authenticated user with delegated permission to manage a Project's 'Roles' or 'ServiceAccounts' confer permissions exceeding the user's own. (texto reduzido: os pormenores técnicos da exploração não são reproduzidos)
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1098, Manipulação de contas (Account Manipulation)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (github.com)github.com
- Referência (github.com)github.com
- Referência (github.com)github.com
- Técnica MITRE ATT&CK T1098attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.