CVE-2026-24845 in malcontent
Sumário
de VulDB • 09/05/2026
O malcontent descobre compromissos na cadeia de suprimentos por meio de contexto, análise diferencial e YARA. A partir da versão 0.10.0 e até a versão 1.20.3, o malcontent poderia ser forçado a expor credenciais do registro Docker se analisasse uma referência de imagem OCI especialmente elaborada. O malcontent usa o google/go-containerregistry para baixar imagens OCI, que, por padrão, utiliza o keychain de credenciais do Docker. Um registro malicioso poderia retornar um cabeçalho `WWW-Authenticate` redirecionando a autenticação de token para um ponto de extremidade controlado pelo atacante, fazendo com que as credenciais fossem enviadas para esse ponto de extremidade. A versão 1.20.3 corrige o problema, definindo a autenticação anônima como padrão para os downloads OCI.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.