Title: Capsule de projectcapsule, Description: Capsule es un framework multi-inquilino y basado en políticas para Kubernetes. Para defenderse contra el secuestro de espacios de nombres logrado a través de operaciones de actualización/parche en los espacios de nombres, Capsule utiliza un webhook para validar las solicitudes de actualización dirigidas a los espacios de nombres. Sin embargo, en Kubernetes, las API de subrecursos namespace/finalize y namespace/status también pueden modificar varios campos de un espacio de nombres, incluido el campo de metadatos. Antes de la versión 0.13.0, el webhook no define reglas de intercepción para estos subrecursos. Como resultado, si un administrador de inquilinos tiene permiso para modificar namespace/status o namespace/finalize, puede realizar con éxito el secuestro de espacios de nombres. La versión 0.13.0 corrige el problema. Otra mitigación es añadir dos subrecursos (namespaces y snamespaces/status con namespace/finalize dentro de él) a la lista de recursos en las reglas de ValidatingWebhookConfiguration.

{"timestamp":"2026-06-02T14:04:59.231575Z","id":"CVE-2026-30963","options":[{"exploitation":"poc"},{"automatable":"no"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"projectcapsule","product":"capsule","versions":[{"version":"< 0.13.0","status":"affected"}]}]

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

NVD-CWE-noinfo

OR
          *cpe:2.3:a:projectcapsule:capsule:*:*:*:*:*:*:*:* versions up to (excluding) 0.13.0

CISA-ADP: https://github.com/projectcapsule/capsule/security/advisories/GHSA-2ww6-hf35-mfjm Types: Exploit, Mitigation, Vendor Advisory

GitHub, Inc.: https://github.com/projectcapsule/capsule/releases/tag/v0.13.0 Types: Product, Release Notes

GitHub, Inc.: https://github.com/projectcapsule/capsule/security/advisories/GHSA-2ww6-hf35-mfjm Types: Exploit, Mitigation, Vendor Advisory

https://github.com/projectcapsule/capsule/security/advisories/GHSA-2ww6-hf35-mfjm

Capsule is a multi-tenancy and policy-based framework for Kubernetes. To defend against namespace hijacking achieved through update/patch operations on namespaces, Capsule uses a webhook to validate update requests targeting namespaces. However, in Kubernetes, the namespace/finalize and namespace/status subresource APIs can also modify various fields of a namespace, including the metadata field. Prior to version 0.13.0, the webhook does not define interception rules for these subresources. As a result, if a tenant administrator has permission to modify namespace/status or namespace/finalize, they can successfully perform namespace hijacking. Version 0.13.0 fixes the issue. Another mitigation is to add two subresources (namespaces and snamespaces/status with namespace/finalize within it) to the resources list in the ValidatingWebhookConfiguration rules.

AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L

CWE-20

https://github.com/projectcapsule/capsule/releases/tag/v0.13.0

https://github.com/projectcapsule/capsule/security/advisories/GHSA-2ww6-hf35-mfjm