CVE-2026-77122

Sonatype Nexus Repository 3-də REST API repozitoriya təfərrüatları son nöqtəsindəki (endpoint) (GET /service/rest/v1/repositories/{repositoryName}) avtorizasiya çatışmazlığı, qrup repozitoriyasında oxuma və ya gəzmə (browse) icazəsi olan hesabın, üzv repozitoriyanın adını birbaşa sorğu etməklə həmin repozitoriya üçün heç bir birbaşa icazəsi olmadığı halda onun metadata məlumatlarını əldə etməsinə şərait yaradırdı. Proxy repozitoriyaları üçün açıqlanan metadata konfiqurasiya edilmiş uzaq URL-ni ehtiva edir ki, bu da daxili yuxarı axın (upstream) host adlarını üzə çıxara bilər. Bura, əgər müvafiq icazə verilibsə, anonim istifadəçi də daxildir; anonim istifadəçinin bu icazəyə malik olub-olmaması konkret quraşdırmanın rol və icazə konfiqurasiyasından asılıdır.