CVE-2026-61833

Nome do Software Vulnerável e Versões Afetadas zot versões anteriores a 2.1.18

Description Uma falha no manipulador de autenticação bearer permite que um invasor remoto com um token limitado às ações pull e push exclua manifestos e blobs dentro do escopo do repositório do token. Isso ocorre porque o manipulador em pkg/api/authn.go mapeia todos os métodos HTTP, exceto GET e HEAD, para a ação push, falhando em verificar a permissão distinta de delete para solicitações DELETE. Além disso, solicitações autenticadas via bearer ignoram o DistSpecAuthzHandler em pkg/api/authz.go, e as funções DeleteManifest() e DeleteBlob() não realizam verificações de autorização independentes. Isso pode levar à exclusão não autorizada de imagens de produção e à alteração do histórico do repositório.

Recommendations Atualize o zot para a versão 2.1.18.