CVE-2023-3384
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W rejestrze Quay znaleziono lukę, która polega na braku walidacji etykiet obrazów pochodzących z obrazów. Chociaż etykiety tworzone przez Quay są walidowane, to etykiety z obrazów nie są poddawane tej samej walidacji, co umożliwia atakującemu publikację złośliwego obrazu.
Ocena ryzyka
Luka ta pozwala na wykonanie skryptu za pomocą ataku Cross-site scripting (XSS), co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się wdrożenie dodatkowej walidacji etykiet obrazów pochodzących z obrazów w rejestrze Quay, aby zapobiec publikacji złośliwych treści.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Quay registry. While the image labels created through Quay undergo validation both in the UI and backend by applying a regex (validation.py), the same validation is not performed when the label comes from an image. This flaw allows an attacker to publish a malicious image to a public registry containing a script that can be executed via Cross-site scripting (XSS).