CVE-2026-61833

zot, Open Container Initiative Distribution Spesifikasiyasına əsaslanan konteyner imici və artefakt reyestridir. 2.1.18 versiyasından əvvəl, pkg/api/authn.go faylındakı bearer autentifikasiya idarəçisi GET və HEAD-dən başqa bütün HTTP metodlarını push hərəkətinə yönləndirir, buna görə də DELETE sorğuları üçün ayrıca silmə icazəsi yoxlanılmır. Bearer ilə autentifikasiya edilmiş sorğular həmçinin pkg/api/authz.go faylındakı detallı DistSpecAuthzHandler yolunu yan keçir, DeleteManifest və DeleteBlob funksiyaları isə müstəqil silmə icazəsi yoxlamasını həyata keçirmir. Beləliklə, yalnız pull və push hərəkətləri ilə məhdudlaşdırılmış bearer tokeni olan uzaq hücumçu, tokenin reyestr əhatəsindəki manifestləri və blobları silə bilər ki, bu da imicləri əlçatmaz edir və tokenin silmə səlahiyyəti olmamasına baxmayaraq reyestr tarixçəsinin dəyişdirilməsinə şərait yaradır. Bu problem 2.1.18 versiyasında düzəldilmişdir.