Vulnerabilidad en clouddriver-artifacts y orca.core (CVE-2026-25534)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-918 Falsificación de solicitud en servidor (SSRF)

Fecha de publicación:

17/03/2026

Última modificación:

18/03/2026

Descripción

### Impacto Spinnaker actualizó la lógica de validación de URL en la entrada del usuario para proporcionar saneamiento en las URL ingresadas por el usuario para clouddriver. Sin embargo, pasaron por alto que los objetos URL de Java no manejan correctamente los guiones bajos al analizar. Esto llevó a una omisión del CVE anterior (CVE-2025-61916) mediante el uso de URL cuidadosamente elaboradas. Tenga en cuenta que Spinnaker encontró esto no solo en ese CVE, sino en las validaciones de URL existentes en el manejo de expresiones fromUrl de Orca. Este CVE impacta AMBOS artefactos como resultado. ### Parches Esto se ha fusionado y estará disponible en las versiones 2025.4.1, 2025.3.1, 2025.2.4 y 2026.0.0. ### Soluciones provisionales Puede deshabilitar los diversos artefactos en este sistema para solucionar estas limitaciones.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

9.10

Gravedad 3.x

CRÍTICA

Vulnerabilidad en clouddriver-artifacts y orca.core (CVE-2026-25534)

Descripción

Impacto

Referencias a soluciones, herramientas e información