Une faille de mauvaise attribution de privilèges dans la conversion d’un compte Docker Hub en organisation pouvait transférer un jeton d’accès personnel (PAT) à un autre utilisateur sans en changer le secret. Le jeton pouvait alors accéder aux dépôts disponibles pour le compte destinataire, selon ses autorisations; Docker indique que le problème a été corrigé avant la publication de l’avis, mais les sources consultées ici ne précisent pas de version corrective.
Source : NVD — CVE-2026-105445
Analyse technique
Un PAT contrôlé par un utilisateur pouvait être réattribué lors d’une conversion de compte en organisation, sans rotation ni révocation du secret. Le PAT pouvait ensuite agir comme l’utilisateur destinataire dans le périmètre de ses droits, notamment sur des dépôts d’organisation.
Impact, versions et correctif
Action recommandée
Vérifier l’historique des conversions de comptes et l’activité des PAT concernés; révoquer et renouveler tout jeton potentiellement transféré, puis contrôler les accès aux dépôts.
Sources
Priorisation DFS : P3 · 1 source(s).