CVE-2026-11569
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W Quay endpoint filedrop akceptuje dowolny typ MIME bez walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w repozytorium na przesłanie złośliwego pliku SVG zawierającego JavaScript. Plik jest przechowywany i serwowany inline przez CDN, umożliwiając trwałe XSS.
Ocena ryzyka
Gdy ofiara odwiedzi URL archiwum, złośliwy skrypt wykona się w jej przeglądarce, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się wdrożenie walidacji typów MIME na endpointcie filedrop oraz ograniczenie możliwości przesyłania plików SVG.
Inne podatności w Quay
Zobacz wszystkie- CVE-2026-18255Wysokie
W Quay użytkownik skonfigurowany w GLOBAL_READONLY_SUPER_USERS może przeglądać tokeny kont robotów dla repozytoriów, których nie jest członkiem. Pozwala to atakującemu z uprawnieniami tylko do odczytu podszyć się pod dowolne konto robota.
- CVE-2026-10078Niskie
W narzędziu konfiguracyjnym Quay config-tool, walidator OAuth GitLaba przesyła wrażliwe dane uwierzytelniające (client_id i client_secret) jako jawny tekst w parametrach URL zapytań POST do punktu końcowego GitLaba. Może to prowadzić do ujawnienia tych danych w logach systemowych, takich jak logi serwera, proxy odwrotnego i innych systemów monitorujących.
- CVE-2025-4374Średnie
W Quay wykryto błąd polegający na tym, że gdy organizacja działa jako proxy cache, a użytkownik lub robot pobiera obraz, który nie został jeszcze zsynchronizowany, otrzymuje uprawnienia administratora na nowo utworzonym repozytorium.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Quay. The filedrop endpoint accepts any mime type without validation, allowing an authenticated user with repository write access to upload a malicious SVG file containing JavaScript. The file is stored and served inline through the CDN, enabling stored cross-site scripting when a victim visits the archive URL.