What is CVE-2026-17527?
CVE-2026-17527 is a privilege escalation vulnerability in containerized-data-importer (CDI) where the `cdi.kubevirt.io:view` ClusterRole, intended for read-only access, mistakenly grants `create` permission on the `datavolumes/source` subresource, allowing unauthorized DataVolume clone operations. This affects Kubernetes environments with CDI installed; it is recommended to update to the latest patched version or remove the `create` verb from the ClusterRole as a mitigation.
Azərbaycanca: CVE-2026-17527, containerized-data-importer (CDI) komponentində aşkar edilmiş bir imtiyaz yüksəltmə zəifliyidir. `cdi.kubevirt.io:view` ClusterRole-u, yalnız oxuma icazəsi verməli olduğu halda, `datavolumes/source` subresursu üzərində yaratma (`create`) hüququ təqdim edir ki, bu da DataVolume klonlama avtorizasiyası zamanı yetərsiz icazə ilə əməliyyat aparmağa imkan yaradır. Təsirə məruz qalan istifadəçilərə yalnız oxuma rolu verilmiş Kubernetes mühitləridir; CDI-ni ən son versiyaya yeniləmək və ya müvəqqəti olaraq ClusterRole-dan `create` icazəsini çıxarmaq tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-863
FAQ2
What permission issue does CVE-2026-17527 cause in containerized-data-importer (CDI)?
This vulnerability causes the `cdi.kubevirt.io:view` ClusterRole, which should only grant read access, to mistakenly provide `create` permission on the `datavolumes/source` subresource.
What temporary mitigation is suggested for CVE-2026-17527?
If updating CDI to the latest version is not possible, it is recommended to temporarily remove the `create` permission from the `cdi.kubevirt.io:view` ClusterRole.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.