Podatności Harbor
3 znanych podatności CVE w Harbor, przetłumaczonych i ocenionych.
- CVE-2017-17697Wysokie
Funkcja Ping() w pliku ui/api/target.go w Harbor do wersji 1.3.0-rc4 zawiera podatność SSRF poprzez parametr endpoint w /api/targets/ping.
- CVE-2026-111590Niskie ryzyko· EPSS 11%
W wielu wersjach Harbor komponent dostarczania webhooków pozwala na SSRF, ponieważ nieprawidłowo waliduje adresy docelowe webhooków, umożliwiając użycie prywatnych i link-local zakresów IP. Uwierzytelniony atakujący z uprawnieniami ProjectAdmin może skonfigurować politykę webhooka wskazującą na prywatny adres wewnętrzny; gdy wystąpi zdarzenie projektu, jobservice Harbor wykonuje nieuwierzytelnione wychodzące żądania HTTP POST do celu, a treść odpowiedzi błędu jest zapisywana w logu wykonania webhooka, który mogą czytać członkowie projektu.
- CVE-2026-92770Średnie
Harbor do wersji 2.15.2 włącznie nie ogranicza poprawnie filtrowania parametru zapytania q na poświadczeniach dostępu do rejestracji skanera. Administratorzy projektów mogą wykorzystać rozmyte filtrowanie kolumny AccessCredential, aby odzyskać sekret adaptera skanera znak po znaku na podstawie liczby wierszy w odpowiedzi.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS