CVE-2026-100837

Contrast (Edgeless Systems) 1.20.0 versiyasına qədər olan versiyalarda imagepuller-də hər reyestr üçün konfiqurasiya seçilərkən lövbərsiz suffiks uyğunlaşdırması həyata keçirilir. Config.registryFor tək bir son nöqtəni silir və sonra DNS etiket sərhədini tələb etmədən strings.HasSuffix(hostname, fqdn) funksiyasından istifadə edir, buna görə də [registries."ghcr.io."] kimi reyestr qeydi, adının sadəcə həmin bayt ardıcıllığı ilə bitdiyi istənilən hosta, o cümlədən hücumkeş tərəfindən qeydiyyatdan keçirilmiş evilghcr.io kimi domenlərə də tətbiq olunur. Belə bir qonşu domendən imic və ya lay çəkildikdə, imagepuller konfiqurasiya edilmiş Authorization başlığını (basic auth, reyestr tokeni və ya identifikasiya tokeni) göndərir, konfiqurasiya edilmiş xüsusi CA paketinə etibar edir, konfiqurasiya edilmiş güzgünu (mirror) izləyir və həmin host üçün insecure-skip-verify (TLS yoxlamasının söndürülməsi) qaydasına əməl edir. İmicin bütövlüyünə təsir göstərmir, çünki imic baytları siyasətdə dayest (digest) vasitəsilə sabit saxlanılır və çəkilmədən sonra yoxlanılır. Başda nöqtə istifadə edən konfiqurasiyalar (məsələn, [registries.".example.registry"]) bundan təsirlənmir.