Aktywnie wykorzystywana w atakach
JFrog Artifactory Improper Limitation of a Pathname to a Restricted Directory Vulnerability
JFrog - Artifactory · Figuruje w katalogu CISA KEV od 2026-08-27. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-66384
ŚrednieCVSS 5.3KEVPrawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Uwierzytelniony użytkownik może zapisywać dane poza zamierzonym katalogiem pamięci podręcznej Dockera w określonych warunkach dotyczących zdalnych repozytoriów.
Ocena ryzyka
Możliwość zapisu danych poza dozwolonym obszarem może prowadzić do naruszenia integralności systemu lub nieautoryzowanego zapisu plików.
Rekomendacja
Zaleca się wdrożenie ścisłych kontroli ścieżek zapisu oraz walidację danych wejściowych w kontekście zdalnych repozytoriów.
Inne podatności w Docker
Zobacz wszystkie- CVE-2014-0047Wysokie
Docker w wersjach przed 1.5 umożliwia lokalnym użytkownikom wywołanie nieokreślonego wpływu poprzez niebezpieczne użycie katalogu /tmp.
- CVE-2014-9357Wysokie
Docker w wersji 1.3.2 pozwala zdalnym atakującym na wykonanie dowolnego kodu z uprawnieniami roota poprzez spreparowany obraz lub budowę w Dockerfile w archiwum LZMA (.xz).
- CVE-2014-6407Wysokie
Docker w wersjach przed 1.3.2 umożliwia zdalnym atakującym zapis do dowolnych plików oraz wykonanie dowolnego kodu poprzez atak symlink lub hard link w archiwum obrazu podczas operacji pull lub load.
- CVE-2014-3499Wysokie
Docker w wersji 1.0.0 używa uprawnień do odczytu i zapisu dla wszystkich na gnieździe zarządzania, co pozwala lokalnym użytkownikom na uzyskanie podwyższonych uprawnień za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
An authenticated user may write data outside the intended Docker cache path under specific remote-repository conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS