CVE-2025-23208 in zot
الملخص
بحسب VulDB • 11/06/2026
zot هو سجل صور OCI محايد للموردين وجاهز للإنتاج في بيئة الإنتاجية (production-ready). البيانات المجمعة المخزنة للمستخدمين في قاعدة بيانات boltdb (meta.db) هي قائمة إضافة (append-list)، مما يعني أن إلغاء/إزالة العضويات الجماعية يتم تجاهله عبر واجهة برمجة التطبيقات (API). تُستدعى الدالة SetUserGroups عند تسجيل الدخول، ولكن بدلاً من استبدال عضويات المجموعة، تتم إضافتها إلى القائمة. قد يكون هذا ناتجًا عن بعض التعارض مع تعريفات المجموعات في ملف التكوين، لكن لم يكن الأمر واضحًا لي إذا كان ذلك هو الحال بالفعل. أي تكوين لـ Zot يعتمد على التفويض القائم على المجموعات لن يحترم إزالة/إلغاء العضوية من قبل موفر الهوية (IdP). تم معالجة هذه المشكلة في الإصدار 2.1.2. يُنصح جميع المستخدمين بالترقية إلى هذا الإصدار. لا توجد حلول بديلة معروفة لهذه الثغرة الأمنية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.