CVE-2026-59164 in Nora
要約
〜によって VulDB • 2026年10月28日
NORAは、セルフホスト型のアーティファクトレジストリおよびプルスルーキャッシュです。バージョン0.9.5以前では、`nora-registry` はトークン管理UIに対して認証を行いますが、管理者権限の認可を要求しません。`auth_middleware()` は `/ui/tokens` および `/api/ui/tokens` を保護していますが、状態変更リクエストは `role.can_admin()` ではなく `role.can_write()` のみでチェックされます。`tokens_page()` と `tokens_list()` は `store.list_all_tokens()` を呼び出し、すべてのユーザーのIDとメタデータを公開します。また、`tokens_revoke()` は所有権または管理者確認を行わずに提供されたトークンIDを使用して `store.revoke_token` を呼び出します。読み取り用のBearerトークンは、他のユーザーのトークンの存在、所有者、ロール、説明、有効期限、最終使用日のメタデータを列挙できます。書き込み可能なBearerトークンまたは書き込み権限を持つOIDCアイデンティティは、さらに任意の管理者およびサービストークンを無効化でき、レジストリを妨害し、資格情報の回復を強制します。読み取り専用のアイデンティティは無効化のためのPOSTを行うことはできません。この問題はバージョン0.9.5で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.