trustlock

trustlock 一个原生集成的 Git 依赖准入控制器。在每次依赖变更时评估信任信号。 工作原理 trustlock 作为 Git 预提交钩子 （建议模式）和 CI 检查 （强制模式）运行： 建议模式（预提交）： 对违规发出警告，退出码为 0，当所有包均被准入时推进信任基线。 强制模式（--enforce）： 阻止违规，退出码为 1，永不推进基线。 每个包评估的信任信号： 冷却期 — 版本发布到注册表后经过的时间 来源证明 — 包是否具有 SLSA 证明 版本固定 — 锁定文件是否使用精确版本 安装脚本 — 包是否运行安装时脚本 来源 — 包来自注册表、Git URL、本地路径还是...

polaris

Polaris 是 Kubernetes 的一个开源策略引擎 Polaris 是 Kubernetes 的一个开源策略引擎，用于验证和修复资源配置。它包含 30 多个内置配置策略，并支持使用 JSON Schema 构建自定义策略。当以命令行模式或作为突变 Webhook 运行时，Polaris 能够根据策略标准自动修复问题。 Polaris 可以在三种不同模式下运行： 作为仪表盘 - 根据策略即代码验证 Kubernetes 资源。 作为准入控制器 - 自动拒绝或修改不符合组织策略的工作负载。 作为命令行工具 - 将策略即代码集成到 CI/CD 流程中，用于测试本地 YAML 文件。...

CVE-2026-5556-Kubernetes-Admission-Controller-Bypass-via-Case-Sensitivity

CVE-2026-5556 – Bypass del controlador de admisión de Kubernetes mediante sensibilidad a mayúsculas y minúsculas Código del programa webhook de admisión en Python + exploit !/usr/bin/env python3 admissionwebhook.py - Vulnerable webhook that rejects pods with specific name from flask import Flask,...

CVE-2025-1974

Kubernetes Ingress-NGINX Ejecución remota de código no autenticada CVE-2025-1974 Ingress-NGINX: Controlador de ingreso para Kubernetes que utiliza NGINX como proxy inverso y balanceador de carga La vulnerabilidad "IngressNightmare" CVE-2025-1974 se origina en un defecto crítico en el Admission...

IngressNightmare-PoC

Exploit para Ingress NGINX - IngressNightmare Este proyecto proporciona un exploit dirigido a vulnerabilidades críticas de Ejecución Remota de Código RCE no autenticada en el Controlador Ingress NGINX para Kubernetes, conocidas colectivamente como IngressNightmare. Investigación de Wiz En la...

CVE-2021-25735

CVE-2021-25735 Explotación de CVE-2021-25735: Omisión del Webhook de Admisión de Validación de Kubernetes Configurar el entorno vulnerable Comencemos ejecutando el script gencerts.sh para generar certificados y claves TLS. bash gencerts.sh Para implementar el controlador de admisión necesitas...

CVE-2025-1974-poc

POC of IngressNightmare, RCE in Ingress NGINX CVE-2025-1974 Developed from: https://github.com/zwxxb/CVE-2025-1974/blob/main/poc.py https://www.wiz.io/blog/ingress-nginx-kubernetes-vulnerabilitieshow-did-we-discover-ingressnightmare-24 Thanks 使用说明 forward the admission webhook kubectl port-forwar...

CVE-2025-1974

CVE-2025-1974 White Hat School 3rd Cohort - Kim So-eun @salt318 https://github.com/salt318/vulhub Summary Caused by a defect in the Ingress-NGINX Admission Controller, a core security mechanism of Kubernetes The Ingress-NGINX Admission Controller is exposed to the network without authentication...

Online-Admission-System-RCE-PoC

Este repositorio no tiene un README...

IngressNightmare-RCE-POC

⚠️ Critical RCE in Ingress-NGINX via Configuration Injection CVE-2025-1974 and more 此仓库包含针对 CVE-2025-1974 的概念验证（PoC）利用程序，这是 Kubernetes 的 Ingress-NGINX 控制器中的一个严重（CVSS 9.8 ）漏洞。该漏洞允许未经身份验证的攻击者通过使用 Validating Admission Controller 时不安全的配置注入实现远程代码执行。这是 2025 年 3 月 26 日披露并修复的五项漏洞中最严重的一个。 📌 影响： •...

CVE-2025-1974

cve-2025-1974-win11-attack-defense-lab Repositorio educativo centrado en Windows 11 para estudiar CVE-2025-1974 en un laboratorio seguro y no armamentizado de ATAQUE + DEFENSA. El proyecto está diseñado para trabajos universitarios, demostraciones en equipo y capturas de pantalla listas para...

CVE-2025-1974

演示 https://youtu.be/3hYlHeaf2mQ 什么是 CVE-2025-1974？ CVE-2025-1974 IngressNightmare 是 Kubernetes ingress-nginx 准入控制器中的一个严重（CVSS 9.8）未授权远程代码执行漏洞。 攻击流程： 1. 上传 ：通过 HTTP POST 向 NGINX 发送恶意共享库（.so 文件） 2. 注入 ：发送精心构造的 Ingress 相关清单（AdmissionReview），并携带注入 sslengine 指令的注解 3. 执行 ：准入控制器执行 nginx -t，该命令加载并执行恶意 .s...

Metasploit-Module-TFM

用于CVE-2023-2728和CVE-2024-3177的自定义Metasploit模块 描述 此自定义模块利用了Kubernetes中易受CVE-2023-2728和CVE-2024-3177影响的版本（例如v1.27.2同时受这两个漏洞影响）中的漏洞，两者均涉及绕过Kubernetes中ServiceAccount准入插件所施加的可挂载机密策略，但使用了不同类型的容器和策略。 主要目标是获取所需的机密，并以对用户友好的方式在环境变量中呈现。 验证步骤 创建或获取凭据 1. 启动msfconsole 2. 执行：use...

CVE-2025-1974

🚨 通过 Ingress-NGINX 准入控制器进行日志注入测试 🧠 概述 此脚本用于测试 Kubernetes 集群中 NGINX Ingress 控制器的注解注入漏洞。它仅用于检测目的 ，涉及 CVE-2025-1974，该漏洞允许恶意注解影响 NGINX 配置。 📚 背景 该漏洞由 Wiz.io 披露（博客文章），涉及控制器未正确处理注入的注解。例如： nginx.ingress.kubernetes.io/auth-url: "http://placeholder/; errorlog /root/thispathshouldntexist.log debug; " 这可能导致意...

CVE-2026-100704

Kyverno is a policy engine for Kubernetes. In versions 1.14.0 through 1.19.0, the ImageValidatingPolicy policies.kyverno.io/v1beta1 evaluator never reads the spec.images and spec.allowedValues fields of a PolicyException. Any PolicyException whose policyRefs and matchConditions match a resource...

CVE-2026-100706

kyverno before 1.19.1 fails to properly validate URL-encoded path segments in Policy apiCall urlPath, allowing namespace tenants to bypass the per-namespace clamp and create objects in other namespaces as the admission-controller ServiceAccount. Attackers can exploit this by using percent-encoded...

CVE-2026-100707

Kyverno before 1.19.1 contains a namespace isolation bypass in the apiCall context entry of namespaced Policy resources due to inconsistent path interpretation between validation and execution. A low-privilege tenant can use percent-encoded dot-segments in urlPath to bypass namespace checks and...

CVE-2026-100707 Kyverno before 1.19.1 Namespace Isolation Bypass via Percent-Encoded Path

Kyverno before 1.19.1 contains a namespace isolation bypass in the apiCall context entry of namespaced Policy resources due to inconsistent path interpretation between validation and execution. A low-privilege tenant can use percent-encoded dot-segments in urlPath to bypass namespace checks and...

EUVD-2026-87680

Kyverno before 1.19.1 contains a namespace isolation bypass in the apiCall context entry of namespaced Policy resources due to inconsistent path interpretation between validation and execution. A low-privilege tenant can use percent-encoded dot-segments in urlPath to bypass namespace checks and...

CVE-2026-100706

Kyverno versions before 1.19.1 are vulnerable to privilege escalation due to improper validation of URL-encoded path segments in the Policy apiCall urlPath. This flaw allows namespace tenants to bypass per-namespace clamps and perform actions as the admission-controller ServiceAccount . By using ...