CVE-2026-100837

Nome do Software Vulnerável e Versões Afetadas Contrast (Edgeless Systems) versões anteriores a 1.20.1

Descrição O imagepuller realiza a correspondência de sufixo não ancorada ao selecionar a configuração por registro. A função Config.registryFor remove um único ponto final e utiliza strings.HasSuffix(hostname, fqdn) sem exigir um limite de rótulo DNS. Isso permite que uma entrada de registro como [registries."ghcr.io."] seja aplicada a qualquer host que termine com essa sequência, como evilghcr.io. Consequentemente, ao baixar uma imagem ou camada de tal domínio, o imagepuller pode enviar o cabeçalho de Autorização configurado, confiar em um pacote CA personalizado, seguir um espelho configurado ou desativar a verificação TLS via insecure-skip-verify. A integridade da imagem é mantida, pois os bytes são fixados por digest e validados após o download. Configurações que utilizam um ponto inicial não são afetadas.

Recomendações Atualize para a versão 1.20.1 ou posterior.