CVE-2026-88804: XSS critico non autenticato in Rancher

CVE-2026-88804 riguarda SUSE Rancher: secondo la descrizione ufficiale NVD, un aggiornamento non autenticato delle impostazioni pubbliche della UI permette a un attaccante remoto di eseguire un attacco di cross-site scripting persistente nell'interfaccia di gestione. Il prodotto specifico non è riportato nei dati oltre a Rancher stesso.

La vulnerabilità ha un punteggio CVSS di 9,6, fascia critica, ed è stata pubblicata su NVD il 28 settembre 2026. È stato osservato un segnale relativo a un repository pubblico su GitHub che dichiara di contenere un proof-of-concept per questa CVE, datato 29 ottobre 2026: questo indica attenzione da parte della comunità tecnica verso la falla, ma non costituisce conferma di uno sfruttamento attivo in ambienti reali. Nessun altro segnale social è presente nei dati.

Per i difensori che gestiscono cluster Kubernetes tramite Rancher, la priorità è applicare gli aggiornamenti alle versioni corrette indicate dal fornitore: 2.15.2, 2.14.6, 2.13.10, 2.12.14 o 2.11.18, secondo le rispettive linee di versione. Una vulnerabilità XSS non autenticata nella UI di gestione di un'infrastruttura Kubernetes può avere impatto elevato, poiché la UI è spesso usata da operatori con privilegi ampi.

In attesa o in aggiunta all'aggiornamento, è opportuno verificare i log di accesso alla console Rancher, limitare l'esposizione della UI pubblica a reti non necessarie e monitorare eventuali attività anomale riconducibili a manipolazioni delle impostazioni pubbliche dell'interfaccia.