CVE-2025-23208 in zot
要約
〜によって VulDB • 2026年06月09日
zotは、本番環境での使用に適したベンダーニュートラルなOCIイメージレジストリです。boltdbデータベース（meta.db）にユーザーのために保存されるグループデータはアペンドリストであるため、APIにおいてグループの取り消しや削除が無視されます。ログイン時にSetUserGroupsが呼び出されますが、グループメンバーシップを置き換えるのではなく、追加されています。これは設定ファイル内のグループ定義との競合によるものかもしれませんが、その場合でも私には明確ではありませんでした。グループベースの認可に依存するZotの設定では、IdPからのグループ削除/取り消しが尊重されません。この問題はバージョン2.1.2で修正されました。すべてのユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.