漏洞概述 漏洞编号: CVE-2026-14251 漏洞标题: gitops-operator: Missing allowedNamespace check in ReconcilerHook for ClusterRole/Role cases enables potential privilege escalation and DoS 状态: NEW 截止日期: 2026-07-06 产品: Security Response 组件: vulnerability 版本: unspecified 硬件: All 操作系统: Linux 优先级: high 严重性: high 影响范围 漏洞描述: ReconcilerHook 函数在 controllers/argocd/openshift/openshift.go 中未调用 allowedNamespace() 函数，导致在 "ReconcileClusterRole" 和 "ReconcileRole" 类型切换情况下存在潜在的特权升级和拒绝服务（DoS）风险。 主要升级路径: 通过 argocd-operator 的 reconcileClusterRole 函数，但该缓解措施未经过全面验证，且存在于不同的上游仓库中。 DoS 向量: 通过 ClusterRole 名称碰撞利用 gate's DELETE 逻辑。 修复方案 报告日期: 2026-06-04 11:02 UTC by OSIDB Bzimport 修改日期: 2026-07-15 06:53 UTC (History) CC 列表: 4 users (show) 修复版本: Clone Of 环境: Last Closed Embargoed: 备注 需要登录才能评论或对此漏洞进行更改。 代码块 页面中未包含具体的 POC 代码或利用代码。