CVE-2026-85471
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Quay znaleziono błąd: uwierzytelniony administrator repozytorium może ominąć czarną listę nazw hostów w powiadomieniach webhook, co prowadzi do podatności na Server-Side Request Forgery (SSRF). Pozwala to nakłonić aplikację Quay do wysyłania żądań do wewnętrznych zasobów sieciowych, takich jak usługi metadanych chmury lub inne usługi w klastrze, co może prowadzić do ujawnienia wrażliwych informacji z tych wewnętrznych usług.
Ocena ryzyka
Atak może umożliwić dostęp do wewnętrznych usług i danych, co stanowi poważne zagrożenie dla poufności infrastruktury.
Rekomendacja
Zaktualizuj Quay do wersji z poprawką oraz ogranicz dostęp do funkcji webhook tylko dla zaufanych administratorów.
Inne podatności w Quay
Zobacz wszystkie- CVE-2026-109195Niskie
W Quay uwierzytelniony atakujący może uzyskać dostęp do konfiguracji automatycznego czyszczenia (auto-prune) repozytoriów z innych przestrzeni nazw, co prowadzi do nieautoryzowanego ujawnienia informacji. Problem wynika z braku odpowiedniego egzekwowania zakresu przestrzeni nazw podczas pobierania szczegółów polityki.
- CVE-2026-105447Średnie
Znaleziono błąd w Quay. Podczas obsługi żądań wyzwalania kompilacji aplikacja nieprawidłowo ujawnia szczegóły konfiguracji wyzwalacza zawierające tokeny zapisu do repozytorium globalnym użytkownikom administracyjnym z uprawnieniami tylko do odczytu. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może wykorzystać ten błąd, odpytywując API wyzwalacza kompilacji w celu pobrania tych tokenów delegowanych. Ten problem pozwala ograniczonemu użytkownikowi ominąć ograniczenia tylko do odczytu i wypchnąć dowolne obrazy kontenerów do prywatnych repozytoriów, co prowadzi do eskalacji uprawnień.
- CVE-2026-102576Średnie
W Quay wykryto lukę, która pozwala zdalnemu atakującemu nakłonić użytkownika do zalogowania się przez spreparowany link, co prowadzi do cross-site scripting (XSS). Aplikacja nie weryfikuje celu przekierowania przed nawigacją, co umożliwia wykonanie dowolnego skryptu w kontekście uwierzytelnionej sesji przeglądarki ofiary. Wykorzystanie wymaga, aby docelowe wdrożenie Quay używało bezpośredniego uwierzytelniania w bazie danych, a ofiara zakończyła logowanie przez złośliwy URL.
- CVE-2026-102295Średnie
W Quay wykryto lukę typu cross-site scripting (XSS) w obsłudze wywołania zwrotnego OAuth. Poprzez nakłonienie zalogowanego użytkownika do odwiedzenia specjalnie spreparowanego linku atakujący może wykonać dowolny kod JavaScript w kontekście sesji przeglądarki użytkownika z powodu niewłaściwej sanityzacji danych wejściowych.
- CVE-2026-18255Wysokie
W Quay użytkownik skonfigurowany w GLOBAL_READONLY_SUPER_USERS może przeglądać tokeny kont robotów dla repozytoriów, których nie jest członkiem. Pozwala to atakującemu z uprawnieniami tylko do odczytu podszyć się pod dowolne konto robota.
- CVE-2026-11569Średnie
W Quay endpoint filedrop akceptuje dowolny typ MIME bez walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w repozytorium na przesłanie złośliwego pliku SVG zawierającego JavaScript. Plik jest przechowywany i serwowany inline przez CDN, umożliwiając trwałe XSS.
- CVE-2026-10078Niskie
W narzędziu konfiguracyjnym Quay config-tool, walidator OAuth GitLaba przesyła wrażliwe dane uwierzytelniające (client_id i client_secret) jako jawny tekst w parametrach URL zapytań POST do punktu końcowego GitLaba. Może to prowadzić do ujawnienia tych danych w logach systemowych, takich jak logi serwera, proxy odwrotnego i innych systemów monitorujących.
- CVE-2025-4374Średnie
W Quay wykryto błąd polegający na tym, że gdy organizacja działa jako proxy cache, a użytkownik lub robot pobiera obraz, który nie został jeszcze zsynchronizowany, otrzymuje uprawnienia administratora na nowo utworzonym repozytorium.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Quay. An authenticated repository administrator could bypass the hostname blacklist in webhook notifications, leading to a Server-Side Request Forgery (SSRF) vulnerability. This allows the Quay application to be tricked into sending requests to internal network resources, such as cloud metadata services or other services within the cluster. Consequently, this could lead to the disclosure of sensitive information from these internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS