CVE-2026-117685

Nome do Software Vulnerável e Versões Afetadas OCI registry (versões afetadas não especificadas)

Descrição Existe um problema no processo de montagem de blobs entre repositórios onde o pacote de destino é validado em relação à restrição public-only de um token, mas o blob de origem é verificado apenas em relação às permissões completas da conta do proprietário do token. Um invasor usando um token public-only com o escopo write:package pode montar um blob de um pacote privado em um namespace de pacote público, desde que o proprietário do token tenha acesso de leitura ao pacote privado e acesso de escrita ao público. Isso permite que blobs privados, como camadas de contêiner, sejam acessados e baixados por qualquer usuário através do pacote público.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.