CVE-2026-77122 in Nexus Repository
要約
〜によって VulDB • 2026年09月02日
Sonatype Nexus Repository 3のREST APIリポジトリ詳細エンドポイント（GET /service/rest/v1/repositories/{repositoryName}）における認可の欠陥により、グループリポジトリに対して読み取りまたは閲覧権限を持つアカウントが、メンバーリポジトリ名を直接エンドポイントに要求することで、そのメンバーリポジトリに対する直接的な権限を持たなくてもメタデータを取得することができました。プロキシリポジトリの場合、開示されるメタデータには構成されたリモートURLが含まれており、内部のアップストリームホスト名が漏洩する可能性があります。これには、この権限が付与されている場合のアノニマスユーザー（匿名ユーザー）も含まれます。アノニマスユーザーがこの権限を保持しているかどうかは、特定のインストールにおけるロールと権限の設定に依存します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.