CVE-2025-23208 in zot
요약
\~에 의해 VulDB • 2026. 06. 09.
zot는 프로덕션 준비가 완료된 벤더 중립적인 OCI 이미지 레지스트리입니다. boltdb 데이터베이스(meta.db)에 저장된 사용자의 그룹 데이터는 어펜드 리스트(append-list) 형식이므로, API에서 그룹 취소/제거 요청이 무시됩니다. 로그인 시 SetUserGroups 함수가 호출되지만, 기존 그룹 멤버십을 대체하는 대신 새로운 멤버십이 추가됩니다. 이는 구성 파일의 그룹 정의와 일부 충돌이 있을 수 때문일 수 있지만, 그 경우라도 명확하지 않았습니다. 그룹 기반 권한 부여에 의존하는 모든 Zot 구성은 IdP(신원 공급자)에 의한 그룹 제거/취소를 존중하지 않습니다. 이 문제는 버전 2.1.2에서 해결되었습니다. 모든 사용자는 업그레이드를 권장합니다. 이 취약성에 대한 알려진 우회 방법은 없습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.