CVE-2026-55588

Nome do Software Vulnerável e Versões Afetadas ORAS CLI versões anteriores a 1.3.3

Descrição A travessia recursiva de referenciadores não rastreia descritores visitados, permitindo que um registro OCI malicioso retorne um grafo de referenciadores cíclico. Isso leva a uma recursão ilimitada e crescimento de memória, resultando em uma negação de serviço no lado do cliente que esgota a CPU e a memória. Este problema afeta o comando oras discover, onde a opção --depth tem o valor padrão 0 (ilimitado), e a contagem recursiva de referenciadores usada nos fluxos de trabalho oras backup e oras restore. Um grafo cíclico ocorre quando um elemento se refere a outro, que então se refere de volta ao primeiro. Isso pode travar automações ou pipelines de CI/CD que interagem com metadados de registros não confiáveis.

Recomendações Atualize para a versão 1.3.3.