CVE-2026-92770

ŚrednieCVSS 6.5

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Harbor do wersji 2.15.2 włącznie nie ogranicza poprawnie filtrowania parametru zapytania q na poświadczeniach dostępu do rejestracji skanera. Administratorzy projektów mogą wykorzystać rozmyte filtrowanie kolumny AccessCredential, aby odzyskać sekret adaptera skanera znak po znaku na podstawie liczby wierszy w odpowiedzi.

Ocena ryzyka

Administrator projektu może odzyskać sekret adaptera skanera, co grozi nieautoryzowanym dostępem do infrastruktury skanowania i dalszą kompromitacją. Wyciek poświadczeń może prowadzić do naruszenia integralności obrazów kontenerów.

Rekomendacja

Zaktualizuj Harbor do wersji nowszej niż 2.15.2. Do czasu aktualizacji ogranicz uprawnienia administratorów projektów i rotuj sekrety adapterów skanerów.

Inne podatności w Harbor

CVE-2017-17697Wysokie
Funkcja Ping() w pliku ui/api/target.go w Harbor do wersji 1.3.0-rc4 zawiera podatność SSRF poprzez parametr endpoint w /api/targets/ping.

Oryginalny opis (angielski, źródło NVD)

Harbor through 2.15.2 fails to properly restrict the q query parameter filtering on scanner registration access credentials. Project administrators can exploit fuzzy filtering on the AccessCredential column to recover the scanner adapter secret one character at a time through response row counts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS