Veille sécuritéCloud & DevOps
P4Moyenne
Entre les versions 0.21.0 et 0.29.0, Warpgate peut réutiliser une autorisation Kubernetes encore en mémoire après la suppression d’un compte et la création d’un autre portant le même nom. Mettez à jour vers Warpgate 0.29.0 ou une version ultérieure pour corriger le défaut.
Kubernetes
IdentifiantCVE-2026-91168
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.29.0
Source : NVD — CVE-2026-91168
Analyse technique
La corrélation des requêtes s’appuie notamment sur le nom d’utilisateur, la cible et l’adresse IP, et l’entrée n’est pas supprimée à la fermeture de la session. Dans les conditions décrites, le compte recréé peut contourner une nouvelle vérification d’autorisation de cible et accéder aux ressources du cluster ou les modifier.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-11-04 à 16:17:54 UTC, soit 18:17:54 +02:00, dans la période demandée. La fiche NVD modifiée est un doublon, pas un événement distinct.
ImpactUn compte recréé avec le même nom peut, sous les conditions décrites, obtenir l’accès à une cible Kubernetes non autorisée.
Versions affectéesVersions 0.21.0 à antérieures à 0.29.0
Version corrigée0.29.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
Publication2026-11-04T18:17:54.900+02:00
Mise à jour2026-11-04T18:17:55.050+02:00
Action recommandée
Mettre à jour Warpgate vers la version 0.29.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).