Docker Desktop : exposition du jeton Docker Hub dans les journaux et diagnostics

Veille sécuritéCloud & DevOps

P4Moyenne

Avant Docker Desktop 4.94.0, certains journaux et bundles de diagnostic pouvaient enregistrer en clair le jeton d’accès Docker Hub de l’utilisateur connecté. Une personne ayant accès à ces fichiers pouvait utiliser le jeton valide pour lire ou modifier les données Docker Hub de cet utilisateur; la mise à niveau ne supprime pas les jetons éventuellement présents dans les anciens fichiers.

IdentifiantCVE-2026-123082

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.94.0

Source : NVD — CVE-2026-123082

Analyse technique

Des charges IPC constituées de chaînes JSON ou de tableaux n’étaient pas expurgées avant journalisation; un composant consignait également le jeton lors de sa récupération auprès du backend.

Impact, versions et correctif

Événement datéNouvelle fiche NVD publiée le 2026-11-10T15:17:16.033Z, pendant la période demandée; la source indique que le correctif est inclus dans Docker Desktop 4.94.0.

ImpactUn attaquant ayant accès aux journaux ou aux bundles de diagnostic peut obtenir le jeton Docker Hub et, tant qu’il est valide, accéder aux données Docker Hub de l’utilisateur et les modifier.

Versions affectéesDocker Desktop avant 4.94.0

Version corrigée4.94.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.7

Publication2026-11-10T15:17:16.033Z

Mise à jour2026-11-10T15:17:16.033Z

Détection / vérification

Vérifier que Docker Desktop est en version antérieure à 4.94.0 et examiner les journaux et bundles de diagnostic, qui peuvent contenir des jetons Docker Hub.

Action recommandée

Mettre à niveau vers Docker Desktop 4.94.0 ou une version ultérieure. Après la mise à niveau, tenir compte du fait que les anciens journaux et bundles peuvent encore contenir le jeton et les traiter comme des données sensibles.

Sources

NVD — CVE-2026-123082

Priorisation DFS : P4 · 1 source(s).