CVE-2025-30086

Nome do Software Vulnerável e Versões Afetadas Versões do CNCF Harbor 2.12.0 a 2.12.3 Versões do CNCF Harbor 2.13.0 a 2.13.0

Descrição Existe um vazamento via ORM no endpoint /api/v2.0/users, permitindo que administradores potencialmente divulguem valores de hash e salt das senhas dos usuários. O parâmetro URL q permite filtrar usuários por qualquer coluna, e o filtro password=~ pode ser abusado para vazar o hash da senha de um usuário caractere por caractere. Um atacante com acesso de administrador poderia explorar isso para vazar informações sensíveis armazenadas no banco de dados do Harbor. Todos os endpoints que suportam o parâmetro URL q estão vulneráveis a este ataque de vazamento via ORM.

Recomendações Para as versões do CNCF Harbor 2.12.0 a 2.12.3, atualize para a versão 2.12.4 ou posterior. Para as versões do CNCF Harbor 2.13.0 a 2.13.0, atualize para a versão 2.13.1 ou posterior.