Veille sécuritéBackend & données
P3Élevée
OpenChoreo vérifiait l’autorisation de mise à jour d’un `WorkflowRun` à partir des étiquettes de projet et de composant fournies dans la requête, alors que l’objet modifié était identifié par l’URL. Un utilisateur authentifié autorisé à mettre à jour des exécutions dans un composant pouvait ainsi réétiqueter une exécution d’un autre projet ou composant du même espace de noms et en prendre le contrôle.
GoKubernetes
IdentifiantCVE-2026-113727
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.0.6, 1.1.7, 1.2.5
Analyse technique
La faille permet un contournement d’autorisation entre projets ou composants au sein d’un même espace de noms. L’avis indique que le correctif vérifie l’objet stocké et rend immuables les étiquettes d’appartenance lors des mises à jour.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-10-21 à 16:29:53Z, dans la période demandée.
ImpactSelon les droits obtenus après le transfert d’appartenance, un attaquant authentifié peut accéder aux journaux et événements, supprimer l’exécution ou modifier certains paramètres d’une exécution en attente.
Versions affectées1.0.0–1.0.5, 1.1.0–1.1.6, 1.2.0–1.2.4
Version corrigée1.0.6, 1.1.7, 1.2.5
ContournementSi la mise à niveau est impossible immédiatement, restreindre les rôles disposant de `workflowrun:update` et vérifier les rôles et liaisons de rôles concernés.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
EPSS0,43% · percentile 36,6%
Publication2026-10-21T16:29:53Z
Mise à jour2026-10-21T16:29:55Z
Action recommandée
Mettre à niveau vers 1.0.6, 1.1.7 ou 1.2.5, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 2 source(s).