CVE-2026-61833 in zot
Tóm tắt
Bởi VulDB • 18/09/2026
zot là một kho lưu trữ hình ảnh container và artifact dựa trên Đặc phân phối của Sáng kiến Container Mở (Open Container Initiative Distribution Specification). Trước phiên bản 2.1.18, trình xử lý xác thực bearer trong pkg/api/authn.go ánh xạ mọi phương thức HTTP khác với GET và HEAD sang hành động push, do đó các yêu cầu DELETE không được kiểm tra quyền xóa riêng biệt. Các yêu cầu đã được xác thực bằng bearer cũng bỏ qua đường dẫn DistSpecAuthzHandler chi tiết trong pkg/api/authz.go, trong khi DeleteManifest và DeleteBlob không thực hiện bất kỳ kiểm tra quyền xóa độc lập nào. Do đó, một kẻ tấn công từ xa có token bearer bị giới hạn ở các hành động pull và push có thể xóa manifest và blob trong phạm vi kho lưu trữ của token, khiến hình ảnh trở nên không khả dụng và cho phép thay đổi lịch sử kho lưu trữ mặc dù token thiếu quyền xóa. Vấn đề này đã được sửa chữa trong phiên bản 2.1.18.
If you want to get best quality of vulnerability data, you may have to visit VulDB.