CVE-2025-23208 in zot
Sumário
de VulDB • 09/06/2026
zot é um registro de imagens OCI (Open Container Initiative) pronto para produção e independente de fornecedor. Os dados do grupo armazenados para os usuários no banco de dados boltdb (meta.db) são uma lista append-only, portanto as revogações/remoções de grupos são ignoradas na API. A função SetUserGroups é chamada durante o login, mas em vez de substituir as associações de grupo, elas são anexadas à existente. Isso pode ser devido a algum conflito com as definições de grupo no arquivo de configuração, embora isso não tenha sido óbvio para mim caso fosse essa a situação. Qualquer configuração do Zot que dependa de autorização baseada em grupos não respeitará a remoção/revogação de um IdP (Identity Provider). Este problema foi corrigido na versão 2.1.2. Todos os usuários são aconselhados a atualizar. Não há soluções alternativas conhecidas para esta vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.