Harbor

JWT-Tokens, die von Workern in Kubernetes-Executors verwendet werden, waren für Benutzer mit ausschliesslich lesendem Zugriff auf Kubernetes-Pods einsehbar. Dadurch könnten Benutzer mit reinem Lesezugriff Aktionen ausführen, die eigentlich nur laufenden Tasks über das Task SDK vorbehalten waren, und möglicherweise den Zustand der Airflow-Datenbank verändern. CVSS-Basiswert: 8.7 (Hoch).

Harbor validiert beim Löschen von Webhook-Richtlinien die Berechtigungen der Nutzer nicht korrekt, wodurch böswillige Nutzer Webhook-Richtlinien anderer Nutzer einsehen, verändern und löschen können. Ein Angreifer kann so in fremden Projekten konfigurierte Webhook-Richtlinien manipulieren. CVSS-Basiswert: 7.7 (Hoch).

Harbor prüft beim Aktualisieren von Tag-Retention-Policies die Nutzerberechtigungen nicht korrekt. Sendet ein Angreifer eine Anfrage zur Aktualisierung einer Tag-Retention-Policy mit einer ID, die zu einem Projekt gehört, auf das der authentifizierte Nutzer keinen Zugriff hat, kann er damit in anderen Projekten konfigurierte Tag-Retention-Policies verändern. CVSS-Basiswert: 7.7 (Hoch).

Harbor prüft beim Aktualisieren von P2P-Preheat-Richtlinien die Berechtigungen des anfragenden Nutzers nicht korrekt. Sendet ein Angreifer eine Anfrage zur Aktualisierung einer P2P-Preheat-Richtlinie mit einer ID aus einem Projekt, auf das der authentifizierte Nutzer keinen Zugriff hat, kann er P2P-Preheat-Richtlinien anderer Projekte verändern. CVSS-Basiswert: 7.4 (Hoch).

Harbor prüft laut NVD beim Lesen und Aktualisieren von Job-Ausführungsprotokollen über die P2P-Preheat-Funktion die Benutzerberechtigungen nicht korrekt. Durch gezielte Anfragen mit unterschiedlichen Job-IDs können böswillige authentifizierte Nutzer sämtliche in der Harbor-Datenbank gespeicherten Job-Protokolle lesen. CVSS-Basiswert: 7.4 (Hoch).

Crossplane validiert in Versionen vor 1.11.5, 1.12.3 und 1.13.0 im Image-Backend die Byte-Inhalte von Crossplane-Paketen nicht. Dadurch erkennt Crossplane nicht, wenn ein Angreifer ein Paket manipuliert hat. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Auf Crossplane 1.11.5, 1.12.3 oder 1.13.0 aktualisieren; ersatzweise nur Images aus vertrauenswürdigen Quellen verwenden und Bearbeitungsrechte für Pakete auf Administratoren beschränken.

CNCF / VMware führt CVE-2026-4404 in den Security Advisories des Harbor-Projekts. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.