CVE-2026-102576
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Quay wykryto lukę, która pozwala zdalnemu atakującemu nakłonić użytkownika do zalogowania się przez spreparowany link, co prowadzi do cross-site scripting (XSS). Aplikacja nie weryfikuje celu przekierowania przed nawigacją, co umożliwia wykonanie dowolnego skryptu w kontekście uwierzytelnionej sesji przeglądarki ofiary. Wykorzystanie wymaga, aby docelowe wdrożenie Quay używało bezpośredniego uwierzytelniania w bazie danych, a ofiara zakończyła logowanie przez złośliwy URL.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce ofiary, co może prowadzić do kradzieży danych sesji lub innych działań w imieniu użytkownika.
Rekomendacja
Zaktualizuj Quay do wersji, która weryfikuje cel przekierowania przed nawigacją, aby zapobiec atakom XSS.
Inne podatności w Quay
Zobacz wszystkie- CVE-2026-109195Niskie
W Quay uwierzytelniony atakujący może uzyskać dostęp do konfiguracji automatycznego czyszczenia (auto-prune) repozytoriów z innych przestrzeni nazw, co prowadzi do nieautoryzowanego ujawnienia informacji. Problem wynika z braku odpowiedniego egzekwowania zakresu przestrzeni nazw podczas pobierania szczegółów polityki.
- CVE-2026-85471Średnie
W Quay znaleziono błąd: uwierzytelniony administrator repozytorium może ominąć czarną listę nazw hostów w powiadomieniach webhook, co prowadzi do podatności na Server-Side Request Forgery (SSRF). Pozwala to nakłonić aplikację Quay do wysyłania żądań do wewnętrznych zasobów sieciowych, takich jak usługi metadanych chmury lub inne usługi w klastrze, co może prowadzić do ujawnienia wrażliwych informacji z tych wewnętrznych usług.
- CVE-2026-105447Średnie
Znaleziono błąd w Quay. Podczas obsługi żądań wyzwalania kompilacji aplikacja nieprawidłowo ujawnia szczegóły konfiguracji wyzwalacza zawierające tokeny zapisu do repozytorium globalnym użytkownikom administracyjnym z uprawnieniami tylko do odczytu. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może wykorzystać ten błąd, odpytywując API wyzwalacza kompilacji w celu pobrania tych tokenów delegowanych. Ten problem pozwala ograniczonemu użytkownikowi ominąć ograniczenia tylko do odczytu i wypchnąć dowolne obrazy kontenerów do prywatnych repozytoriów, co prowadzi do eskalacji uprawnień.
- CVE-2026-102295Średnie
W Quay wykryto lukę typu cross-site scripting (XSS) w obsłudze wywołania zwrotnego OAuth. Poprzez nakłonienie zalogowanego użytkownika do odwiedzenia specjalnie spreparowanego linku atakujący może wykonać dowolny kod JavaScript w kontekście sesji przeglądarki użytkownika z powodu niewłaściwej sanityzacji danych wejściowych.
- CVE-2026-18255Wysokie
W Quay użytkownik skonfigurowany w GLOBAL_READONLY_SUPER_USERS może przeglądać tokeny kont robotów dla repozytoriów, których nie jest członkiem. Pozwala to atakującemu z uprawnieniami tylko do odczytu podszyć się pod dowolne konto robota.
- CVE-2026-11569Średnie
W Quay endpoint filedrop akceptuje dowolny typ MIME bez walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w repozytorium na przesłanie złośliwego pliku SVG zawierającego JavaScript. Plik jest przechowywany i serwowany inline przez CDN, umożliwiając trwałe XSS.
- CVE-2026-10078Niskie
W narzędziu konfiguracyjnym Quay config-tool, walidator OAuth GitLaba przesyła wrażliwe dane uwierzytelniające (client_id i client_secret) jako jawny tekst w parametrach URL zapytań POST do punktu końcowego GitLaba. Może to prowadzić do ujawnienia tych danych w logach systemowych, takich jak logi serwera, proxy odwrotnego i innych systemów monitorujących.
- CVE-2025-4374Średnie
W Quay wykryto błąd polegający na tym, że gdy organizacja działa jako proxy cache, a użytkownik lub robot pobiera obraz, który nie został jeszcze zsynchronizowany, otrzymuje uprawnienia administratora na nowo utworzonym repozytorium.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Quay. A remote attacker could trick a user into logging in through a crafted link, resulting in cross-site scripting (XSS). Because the application does not validate the redirect destination before navigating, this flaw allows the execution of arbitrary script in the context of the victim's authenticated browser session. Successful exploitation requires the target Quay deployment to use direct database authentication and the victim to complete login through the malicious URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS