Aktywnie wykorzystywana w atakach
JFrog Artifactory Improper Authentication Vulnerability
JFrog - Artifactory · Figuruje w katalogu CISA KEV od 2026-09-11. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-42018
WysokieCVSS 7.5KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
JFrog Artifactory może zwrócić wewnętrzny token anonimowego użytkownika nieuwierzytelnionemu wywołującemu, gdy dostęp anonimowy jest wyłączony, co może potencjalnie ujawnić wrażliwe zasoby.
Ocena ryzyka
Ryzyko ujawnienia wrażliwych zasobów nieautoryzowanym osobom, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zastosuj poprawki producenta i upewnij się, że dostęp anonimowy jest poprawnie skonfigurowany i zablokowany.
Inne podatności w JFrog Artifactory
Zobacz wszystkie- CVE-2026-82329KrytyczneAktywnie exploitowane
JFrog Artifactory zawiera słabość uwierzytelniania, która w domyślnej konfiguracji może pozwolić nieuwierzytelnionemu atakującemu z dostępem sieciowym na uzyskanie uprawnień administracyjnych.
- CVE-2026-42016WysokieAktywnie exploitowane
JFrog Artifactory (Self Hosted) przed wersją 7.133.11 jest podatny na atak eskalacji uprawnień z powodu sprawdzania poprawności podpisu/wystawcy tokena, a nie zakresu tokena.
- CVE-2016-6501Krytyczne
JFrog Artifactory przed wersją 4.11 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez atrybut LDAP z przygotowanym zserializowanym obiektem Java, znanym jako zanieczyszczenie wpisu LDAP.
- CVE-2026-70550Średnie
Słabość autoryzacji w obsłudze repozytoriów Composer w JFrog Artifactory może pozwolić uwierzytelnionemu użytkownikowi, w określonych warunkach, na odczyt metadanych pakietów z repozytoriów, do których nie ma uprawnień. Problem dotyczy poufności i został rozwiązany w poprawionych wersjach Artifactory.
- CVE-2026-70548Niskie
W określonych okolicznościach użytkownik o niskich uprawnieniach może wysłać żądanie do zdalnych repozytoriów CocoaPods za pośrednictwem JFrog Artifactory External Dependency.
- CVE-2026-69107Średnie
Nieuwierzytelniony użytkownik może uzyskać dostęp do ograniczonych artefaktów w JFrog Artifactory w określonych warunkach.
- CVE-2026-65926Niskie
Anonimowy wywołujący, gdy dostęp anonimowy jest włączony, lub uwierzytelniony użytkownik z niskimi uprawnieniami może poznać prywatne nazwy i wersje pakietów Release Bundle, jeśli nazwa pakietu jest znana.
- CVE-2026-68756Średnie
Osoba z prawem zapisu do przechowywanych danych sesji może wpłynąć na JFrog Artifactory w określonych warunkach.
- CVE-2026-66014Wysokie
W JFrog Artifactory wykryto słabość w obsłudze uwierzytelniania podczas przetwarzania wewnętrznych żądań, która w określonych warunkach może pozwolić atakującemu na eskalację uprawnień.
- CVE-2026-65925Średnie
Użytkownik z dostępem do odczytu zdalnego repozytorium Cargo w JFrog Artifactory może spowodować, że Artifactory wyśle żądania do nieprzewidzianych URL-i i zwróci odpowiedź.
Oryginalny opis (angielski, źródło NVD)
JFrog Artifactory could return an internal anonymous-user token to an unauthenticated caller when anonymous access is disabled, potentially exposing sensitive resources.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS