CVE-2026-42457: vCluster Platform: XSS armazenado no campo name de templateRef leva a escalonamento de privilégios

Visão geral

A CVE-2026-42457 afeta o vCluster Platform, uma plataforma Kubernetes para gerenciar clusters virtuais, multi-tenancy e compartilhamento de clusters. A fraqueza é uma falha de cross-site scripting armazenado (CWE-79) disparada pelo campo name de um templateRef. O aviso do GitHub citado no registro é a principal fonte da descrição do fornecedor.

Impacto

O registro afirma que a falha pode levar à execução de scripts externos arbitrários no contexto do navegador da plataforma.
No pior caso, segundo o registro, um usuário malicioso poderia potencialmente criar um novo usuário Global-Admin e contornar outras restrições de segurança.
O registro indica que o atacante precisa poder criar namespaces.
A pontuação base CVSS 3.1 é 9.0, com classificação crítica, e o vetor do registro indica alto impacto em confidencialidade, integridade e disponibilidade.

Produtos e versões afetadas

O registro lista o produto como Loft-sh Loft com estes intervalos:

Versões anteriores à 4.4.3.
Versões a partir de 4.5.0-alpha.0 até, sem incluir, a 4.5.5.
Versões a partir de 4.6.0-alpha.1 até, sem incluir, a 4.6.2.
Versões a partir de 4.7.0-alpha.0 até, sem incluir, a 4.7.1.

A descrição também cita a 4.8.0 como versão corrigida, mas ela não aparece nos intervalos afetados. Isso é uma inconsistência do registro; confirme o limite exato no aviso do fornecedor antes de tirar conclusões para a linha 4.8.x.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA e atribui valor de exploração none no SSVC, com automatizável igual a no. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Correção e mitigação

Atualize o vCluster Platform para uma versão corrigida: 4.4.3, 4.5.5, 4.6.2, 4.7.1 ou 4.8.0, conforme a sua linha de release.
Até concluir a atualização, revise quais usuários podem criar namespaces, já que o registro indica que essa capacidade é necessária, e restrinja-a a papéis confiáveis.
Revise os objetos templateRef existentes e os namespaces criados recentemente em busca de nomes ou conteúdos inesperados.
Audite contas com direitos de Global-Admin em busca de entradas que não tenham sido criadas por processos aprovados.

Orientações de detecção

Revise os logs de auditoria em busca de criação de namespaces e de criação ou alteração de templateRef por identidades inesperadas.
Procure usuários recém-criados ou vínculos de papéis que concedam direitos administrativos globais.
Monitore comportamentos incomuns no navegador relatados por administradores, como janelas inesperadas ou ações executadas em suas sessões.

Limitações das informações disponíveis

O registro não traz uma lista estruturada de versões corrigidas, então as versões acima vêm da descrição. Ele não detalha condições de exploração além da exigência de criação de namespaces e não fornece detalhes de prova de conceito, que esta análise não inclui. Os dados de EPSS do registro têm uma data que não corresponde à data de publicação, então o valor de probabilidade deve ser interpretado com cautela.

Perguntas frequentes

O que é a CVE-2026-42457?

É uma vulnerabilidade de cross-site scripting armazenado no vCluster Platform, disparada pelo campo name de um templateRef, segundo o registro.

Quais versões estão corrigidas?

O registro indica as versões 4.4.3, 4.5.5, 4.6.2, 4.7.1 e 4.8.0 como corrigidas. Escolha a versão correspondente à sua linha de release.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.