CVE-2026-61833

zot, Open Container Initiative Distribution Specification tabanlı bir konteyner imajı ve artefakt kayıt defteridir. 2.1.18 sürümünden önce, pkg/api/authn.go dosyasındaki bearer kimlik doğrulama işleyicisi, GET ve HEAD dışındaki her HTTP yöntemini push eylemiyle eşleştirir; bu nedenle DELETE istekleri için ayrı bir silme izni kontrolü yapılmaz. Bearer ile kimlik doğrulanmış istekler ayrıca pkg/api/authz.go dosyasındaki ince taneli DistSpecAuthzHandler yolunu baypas ederken, DeleteManifest ve DeleteBlob bağımsız bir silme izni kontrolü gerçekleştirmez. Bu durum, yalnızca çekme (pull) ve itme (push) eylemleriyle sınırlandırılmış bir bearer belirtecine sahip uzak bir saldırganın, belirtecin depo kapsamındaki manifestoları ve blob'ları silmesine olanak tanır; böylece belirteçte silme yetkisi olmamasına rağmen imajlar erişilemez hale getirilebilir ve depo geçmişi değiştirilebilir. Bu sorun 2.1.18 sürümünde düzeltilmiştir.