CVE-2025-23208 in zot
Resumen
por VulDB • 2026-06-09
zot es un registro de imágenes OCI neutro respecto al proveedor y listo para producción. Los datos del grupo almacenados para los usuarios en la base de datos boltdb (meta.db) son una lista append-only, por lo que las revocaciones o eliminaciones de grupos se ignoran en la API. SetUserGroups se llama durante el inicio de sesión, pero en lugar de reemplazar las pertenencias al grupo, estas se añaden a la lista existente. Esto puede deberse a algún conflicto con las definiciones del grupo en el archivo de configuración, aunque no resultaba evidente para mí si ese fuera el caso. Cualquier configuración de Zot que dependa de la autorización basada en grupos no respetará la eliminación o revocación de un grupo por parte de un IdP (Proveedor de Identidad). Este problema se ha solucionado en la versión 2.1.2. Se recomienda a todos los usuarios actualizar. No hay soluciones alternativas conocidas para esta vulnerabilidad.
Once again VulDB remains the best source for vulnerability data.