CVE-2026-85732

Nome do Software Vulnerável e Versões Afetadas oras-go versões anteriores a 2.6.2

Description A função parseLink() em registry/remote/utils.go não valida o esquema, host ou porta de URLs absolutas fornecidas no cabeçalho de resposta Link de um registro. Isso permite que um registro malicioso force um cliente a emitir requisições GET para endpoints internos arbitrários a partir da rede da vítima, resultando em server-side request forgery (SSRF) cego. Este problema afeta operações de listagem baseadas em paginação para Tags, Referrers e Repositories. Embora o corpo da resposta não seja retornado ao atacante, a acessibilidade do serviço pode ser inferida por meio de diferenças de tempo e erro. Além disso, se o armazenamento de credenciais da vítima contiver entradas para o host de destino, essas credenciais podem ser anexadas à requisição. A vulnerabilidade é acionada quando uma vítima realiza uma operação de listagem baseada em paginação contra um registro malicioso.

Recommendations Atualize o oras-go para a versão 2.6.2 ou posterior.