北京
一个评分9.4的高危漏洞，在Docker Hub的账户转组织流程里潜伏了两年多。直到研究人员通报，Docker才在4小时内完成修复。
容器镜像托管平台Docker Hub披露了这枚已修复的漏洞。问题出在个人账号转为组织账号的流程中：账户名下的PAT个人访问令牌会被重新关联到新的组织所有者，但密钥没有被正确更换或撤销。
这意味着，原本持有该密钥的人依然能用它通过镜像仓库认证，并以目标用户的身份访问仓库。
令牌没换，身份却换了
漏洞编号CVE-2026-105445，评分9.4/10。影响时间从2024年8月26日持续到2026年9月30日。
攻击者能获得的权限，包括目标用户自己的镜像仓库，以及该用户可以访问的组织仓库。拉取、推送镜像都在这个范围内。
不过漏洞的边界也很明确：它不能用于登录Docker Hub网页，不能修改目标账户的密码、邮箱或多因素认证设置，也不能接管组织或其他成员的账号。
4小时修复，30.4万次推送被回溯
Docker在2026年9月30日收到研究人员通报的漏洞报告，确认后短短4小时内就发布了更新。修复在服务端执行，用户不需要安装任何软件更新。
随后Docker回溯了漏洞存在期间的账户转换记录，审查约30.4万次相关推送，没有证据表明这个流程漏洞已经被恶意用户用于发布镜像。
从10月8日开始，Docker批量停用了已经识别出来的转移令牌，这些令牌无法再用于操作组织仓库。
对使用Docker Hub的团队来说，这次事件的关键点在于：账户转换这类看似后台的操作，一旦令牌密钥的更换环节出问题，权限就会跟着身份一起“漂移”。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
