CVE-2026-121542
NiskieCVSS 1.8Streszczenie
W Docker Buildx w wersjach od v0.19.0 do v0.38.0 niezaufana definicja Bake może ujawnić pliki dostępne dla klienta Buildx bez oczekiwanej zgody fs.read. Ścieżki w katalogu nadrzędnym bieżącego katalogu roboczego, których nazwy zaczynają się od nazwy katalogu roboczego, mogą pominąć sprawdzenie uprawnień do systemu plików. Problem naprawiono w wersji v0.38.1.
Ocena ryzyka
Uruchamianie niezaufanych definicji Bake może doprowadzić do nieautoryzowanego ujawnienia plików z systemu plików użytkownika.
Rekomendacja
Zaktualizuj Docker Buildx do wersji v0.38.1 lub nowszej i unikaj uruchamiania niezaufanych definicji Bake.
Inne podatności w Docker Buildx
Zobacz wszystkie- CVE-2026-121541Średnie
W Docker Buildx w wersjach od v0.19.0 do v0.38.0 niezaufana definicja Bake, która buduje wiele celów jednocześnie, może ujawnić pliki dostępne dla klienta Buildx bez oczekiwanej zgody fs.read. W pewnych warunkach ścieżki systemu plików z niektórych celów nie są weryfikowane względem zatwierdzonych uprawnień.
- CVE-2026-103433Średnie
Docker Buildx Bake nie żąda oczekiwanej zgody fs.read dla niektórych danych wejściowych systemu plików. Niezaufana definicja Bake może ujawnić czytelny plik poprzez sekret bez ścieżki, którego identyfikator jest interpretowany jako ścieżka po stronie klienta, lub zużyć lokalny układ obrazu OCI poza projektem, gdy walidacja uprawnień sprawdza inną reprezentację ścieżki.
Oryginalny opis (angielski, źródło NVD)
In Docker Buildx versions v0.19.0 through v0.38.0, an untrusted Bake definition may expose files accessible to the Buildx client without the expected fs.read approval. Under certain conditions, paths under the same parent directory as the current working directory whose names use the working directory's basename as a prefix can skip the filesystem entitlement check. Exploitation requires specific matching filenames next to the current project directory. Users who run untrusted Bake definitions may be affected. The issue is fixed in v0.38.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS