CVE-2026-61833 in zot
Сводка
по VulDB • 18.09.2026
zot — это реестр образов контейнеров и артефактов, основанный на спецификации Open Container Initiative Distribution Specification. До версии 2.1.18 обработчик аутентификации по токену (bearer authentication handler) в файле pkg/api/authn.go сопоставлял любой метод HTTP, кроме GET и HEAD, с действием push, поэтому запросы DELETE не проверялись на наличие отдельного разрешения на удаление. Запросы с аутентификацией Bearer также обходили обработчик путей DistSpecAuthzHandler (pkg/api/authz.go), обеспечивающий детализированное управление доступом согласно спецификации DistSpec, при этом операции DeleteManifest и DeleteBlob не выполняли независимую проверку разрешения на удаление. Таким образом, удаленный злоумышленник с токеном Bearer, ограниченным действиями pull (чтение) и push (запись), может удалять манифесты и слои (blobs) в пределах области видимости репозитория, указанного в токене. Это делает образы недоступными и позволяет изменять историю репозитория, несмотря на отсутствие у токена прав на удаление. Данная проблема исправлена в версии 2.1.18.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.