KubePi Privilege Escalation vulnerability

CAO 8.8CVE-2023-37917 · GHSA-757p-vx43-fp9r · GO-2023-1956 · Công bố 21/07/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-37917 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng github.com/KubeOperator/kubepi, kubepi (fit2cloud).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.74%, cao hơn 54.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.6.5 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/KubeOperator/kubepi Go	`< 1.6.5`	`1.6.5`
kubepi fit2cloud	`< 1.6.5`	`1.6.5`

Mô tả

Summary

A normal user has permission to create/update users, they can become admin by editing the isadmin value in the request

PoC

Change the value of the isadmin field in the request to true: https://drive.google.com/file/d/1e8XJbIFIDXaFiL-dqn0a0b6u7o3CwqSG/preview

Impact

Elevate user privileges

Mô tả của NVD

KubePi is an opensource kubernetes management panel. A normal user has permission to create/update users, they can become admin by editing the `isadmin` value in the request. As a result any user may take administrative control of KubePi. This issue has been addressed in version 1.6.5. Users are advised to upgrade. There are no known workarounds for this vulnerability.