CVE:CVE-2022-36089
CNNVD:CNNVD-202209-482
KubeVela是KubeVela开源的一个现代应用程序交付平台。
KubeVela 1.4.11和1.5.4之前的版本存在安全漏洞，该漏洞源于其VelaUX APIServer使用PlatformID作为签名密钥为用户生成JWT令牌。另一个名为“getSystemInfo”的API暴露了platformID。这个操作允许用户使用platformID重新生成JWT令牌，从而绕过身份验证。
solution:Upgrade kubevela kubevela to a higher version than 1.4.11,1.5.3,and avoid the version [1.4.0,1.4.11),[1.5.0,1.5.3)