Kiali Authentication Bypass vulnerability

TRUNG BÌNH 6.5CVE-2021-20278 · GHSA-ggjr-2f7v-vhq4 · GO-2022-0700 · Công bố 28/05/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-20278 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng github.com/kiali/kiali, kiali (kiali).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.76%, cao hơn 55.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.31.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/kiali/kiali Go	`< 1.31.0`	`1.31.0`
kiali kiali	`< 1.31.0`	`1.31.0`

Mô tả

An authentication bypass vulnerability was found in Kiali in versions before 1.31.0 when the authentication strategy OpenID is used. When RBAC is enabled, Kiali assumes that some of the token validation is handled by the underlying cluster. When OpenID implicit flow is used with RBAC turned off, this token validation doesn't occur, and this allows a malicious user to bypass the authentication.

Mô tả của NVD

An authentication bypass vulnerability was found in Kiali in versions before 1.31.0 when the authentication strategy `OpenID` is used. When RBAC is enabled, Kiali assumes that some of the token validation is handled by the underlying cluster. When OpenID `implicit flow` is used with RBAC turned off, this token validation doesn't occur, and this allows a malicious user to bypass the authentication.