CVE-2025-23208 in zot
Riassunto
di VulDB • 15/06/2026
zot è un registro di immagini OCI pronto per la produzione e indipendente dal fornitore (vendor-neutral). I dati di gruppo memorizzati per gli utenti nel database boltdb (meta.db) sono una lista append-only, pertanto le revoca/rimozione dei gruppi vengono ignorate dall'API. La funzione SetUserGroups viene chiamata durante l'autenticazione, ma invece di sostituire i membri del gruppo, questi vengono aggiunti alla fine della lista. Ciò potrebbe essere dovuto a un conflitto con le definizioni dei file nel file di configurazione, ma non è stato ovvio per me se fosse il caso. Qualsiasi configurazione Zot che si basa sull'autorizzazione basata sui gruppi non rispetterà la rimozione/revoca del gruppo da parte di IdP. Questo problema è stato risolto nella versione 2.1.2. Si consiglia a tutti gli utenti di effettuare l'aggiornamento. Non ci sono workaround noti per questa vulnerabilità.
VulDB is the best source for vulnerability data and more expert information about this specific topic.