偵測

JFrog Artifactory 匿名用戶令牌披露

high Web App Scanning Plugin ID 115474

語言:

概要

JFrog Artifactory 匿名用戶令牌披露

說明

自託管 JFrog Artifactory 版本7.111.21在 之前 ， 7.117.287.117.x 之前 ， 7.125.207.125.x 之前 ， 7.133.x7.133.29之前 和7.146.387.146.x7.161.x之前 7.161.20 遭受不當驗證弱點。當請求路徑帶有尾端斜線時，JFrog Access 服務的 AWS 承擔角色權杖交換端點無法強制執行驗證。因此，遠端且未經驗證的攻擊者可以向該端點提交 POST 要求，並獲得繫結至內部匿名使用者的有效存取權杖，即使執行個體上停用匿名存取也是如此。揭露的權杖會針對平台 API 進行驗證，並可用來列舉存放庫，以及讀取公開給該身分的託管成品和伺服器中繼資料。已觀察到此問題與 CVE-2026-42016 鏈結，以將揭露的權杖升級為管理員範圍的憑證。

解決方案

升級至 JFrog Artifactory 版本 、 7.117.28、 7.125.20、 7.133.29或7.146.387.161.20更新版本7.111.21。

另請參閱

https://docs.jfrog.com/releases/docs/jfrog-security-advisories

Plugin 詳細資訊

嚴重性: High

ID: 115474

類型: Check Based

已發布: 2026/9/14

已更新: 2026/9/14

掃描範本: basic, full, pci, scan

風險資訊

VPR

風險因素: High

分數: 7.3

百分位數: 98.25

CVSS v2

風險因素: High

基本分數: 7.8

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS 評分資料來源: CVE-2026-42018

CVSS v3

風險因素: High

基本分數: 7.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVSS 評分資料來源: CVE-2026-42018

弱點資訊

CPE: cpe:2.3:a:jfrog:artifactory:*:*:*:*:*:*:*:*

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2026/8/28

弱點發布日期: 2026/7/29

CISA 已知遭惡意利用弱點到期日: 2026/9/25

參考資訊

CVE: CVE-2026-42018