CVE-2026-48978
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece oras-go przed wersją 2.6.1. Klient uwierzytelniania podąża za adresem URL realm z rejestru bez walidacji, co umożliwia atak SSRF na wewnętrzne sieci, np. http://169.254.169.254/.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku SSRF, który może ujawnić wrażliwe dane z wewnętrznych zasobów sieciowych, takich jak metadane chmury.
Rekomendacja
Zaleca się natychmiastową aktualizację oras-go do wersji 2.6.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
oras-go is a Go library for managing OCI artifacts. Prior to 2.6.1, auth.Client follows the realm URL from a registry's WWW-Authenticate: Bearer challenge without validating the scheme or host, allowing a malicious or compromised registry to cause SSRF to internal networks such as http://169.254.169.254/, http://10.0.0.x/, and http://127.0.0.1/, or to downgrade a registry contacted over https:// to an http:// token endpoint in registry/remote/auth/client.go through Client.Do(), Client.fetchBearerToken(), fetchDistributionToken, and fetchOAuth2Token. This issue is fixed in version 2.6.1.