p PatchFirst

CVE-2026-61459

CVE-2026-61459 · MCP Server Kubernetes < 3.9.0 Argument Injection via kubectl Structured Tools

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

MCP Server Kubernetes before 3.9.0 contains an argument injection vulnerability in structured tools (kubectl_get, kubectl_describe, kubectl_delete) that allows attackers to bypass the assertNoDangerousFlags security check by supplying resourceType and name parameters with leading dashes. Attackers can inject the --server flag to redirect kubectl commands to an attacker-controlled API server, causing the operator's bearer token to be transmitted externally and enabling full cluster compromise.

CVSS 9.3 · Kritisch · EPSS 2,4% · Öffentlicher Exploit · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python · node

Betroffene Produkte und Versionen

  • mcp-server-kubernetes

    Softwareversionen
    • ≥ 0, < 3.9.0: Betroffen (semver)

    Auf 3.9.0 aktualisieren

  • mcp-server-kubernetes npm

    Betroffene Versionsbereiche
    • SEMVER: < 3.9.0

    Auf 3.9.0 aktualisieren

  • mcp-server-kubernetes PyPI

    Softwareversionen
    • 0.1.0
    • 0.1.1
    • 0.1.2
    • 0.1.3
    • 0.1.6
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 3.9.0

    Auf 3.9.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →