CVE-2026-103433
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Docker Buildx Bake nie żąda oczekiwanej zgody fs.read dla niektórych danych wejściowych systemu plików. Niezaufana definicja Bake może ujawnić czytelny plik poprzez sekret bez ścieżki, którego identyfikator jest interpretowany jako ścieżka po stronie klienta, lub zużyć lokalny układ obrazu OCI poza projektem, gdy walidacja uprawnień sprawdza inną reprezentację ścieżki.
Ocena ryzyka
Użytkownicy uruchamiający niezaufane definicje Bake mogą narazić lokalne pliki lub obrazy OCI na nieautoryzowany dostęp, co prowadzi do wycieku informacji.
Rekomendacja
Zaktualizuj Docker Buildx do wersji zawierającej poprawkę oraz unikaj uruchamiania niezaufanych definicji Bake.
Inne podatności w Docker Buildx
Zobacz wszystkie- CVE-2026-121542Niskie
W Docker Buildx w wersjach od v0.19.0 do v0.38.0 niezaufana definicja Bake może ujawnić pliki dostępne dla klienta Buildx bez oczekiwanej zgody fs.read. Ścieżki w katalogu nadrzędnym bieżącego katalogu roboczego, których nazwy zaczynają się od nazwy katalogu roboczego, mogą pominąć sprawdzenie uprawnień do systemu plików. Problem naprawiono w wersji v0.38.1.
- CVE-2026-121541Średnie
W Docker Buildx w wersjach od v0.19.0 do v0.38.0 niezaufana definicja Bake, która buduje wiele celów jednocześnie, może ujawnić pliki dostępne dla klienta Buildx bez oczekiwanej zgody fs.read. W pewnych warunkach ścieżki systemu plików z niektórych celów nie są weryfikowane względem zatwierdzonych uprawnień.
Oryginalny opis (angielski, źródło NVD)
Docker Buildx Bake does not request the expected fs.read approval for certain filesystem inputs. An untrusted Bake definition can expose a readable file through a pathless secret whose ID is interpreted as a client-side pathname, or consume a local OCI image layout outside the project after entitlement validation checks a different path representation. Users who run untrusted Bake definitions are affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS