CVE-2026-10517 in Quay
Zusammenfassung
von VulDB • 01.06.2026
Es wurde ein Fehler in Clair gefunden. Die Fetcher-Komponente sendet ausgehende HTTP-Anfragen an von Angreifern bereitgestellte URIs aus Manifest-Layer-Deskriptoren ohne IP- oder Schemafilterung. Wenn die PSK-Authentifizierung nicht konfiguriert ist (opt-in, standardmäßig nicht erzwungen), kann ein nicht authentifizierter Angreifer ein Manifest mit einer URI einreichen, die auf interne Dienste oder Cloud-Metadaten-Endpunkte verweist. Die SSRF ist bei Nicht-200-Antworten reflektiv und gibt bis zu 256 Bytes an Fehlerinhalt über CheckResponse-Fehlermeldungen preis. Operator-verwaltete Red Hat Quay-Deployments konfigurieren PSK automatisch und sind nicht durch den nicht authentifizierten Angriffsvektor gefährdet.
If you want to get best quality of vulnerability data, you may have to visit VulDB.