What is CVE-2026-18675?

The CVE-2026-18675 vulnerability exists in the dataplane token validator of Kuma's control plane (kuma-cp). A remote attacker can trigger a runtime panic by sending a JWT with a numeric `kid` header, which causes an unchecked Go type assertion to a `float64`, crashing the entire process before signature, claims, or authorization checks occur. This results in a denial-of-service condition. Apply the vendor patch or filter untrusted tokens at the edge as a mitigation.

Azərbaycanca: CVE-2026-18675 zəifliyi Kuma xidmət mesh-inin idarəetmə panelində (kuma-cp) aşkarlanıb. Hücumçu JWT `kid` başlığında rəqəm ötürməklə təsdiqləmə funksiyasında `float64` tipinə yanlış çevirmə nəticəsində `runtime panic` yaradaraq bütün kuma-cp prosesini çökdürə bilər. Bu zəiflik imza, iddialar və avtorizasiya yoxlamalarından əvvəl baş verdiyi üçün xidmətin dayanmasına (DoS) səbəb olur. Təsirlənən məhsul üçün yeniləməni tətbiq etmək və ya müvəqqəti olaraq etibarsız tokenləri xarici səviyyədə filtrləmək tövsiyə olunur.