CVE-2026-41888

Nome do Software Vulnerável e Versões Afetadas Distribution versões anteriores a 3.1.1

Description Existe uma falha de bypass de autorização onde a exclusão de tags através do endpoint "/v2//manifests/" ignora a configuração storage.delete.enabled: false. Isso permite que qualquer cliente de API remova tags de repositórios, mesmo quando o operador desativou explicitamente a exclusão. O problema ocorre porque a função DeleteManifest() detecta uma referência de tag e chama tagStore.Untag(), que interage diretamente com o driver de armazenamento sem verificar se as exclusões estão habilitadas.

Recommendations Atualizar para a versão 3.1.1.