تاریخ خبر با تاریخ اصلاح متفاوت است
این اطلاعیه در ۱۲ اکتبر ۲۰۲۶ منتشر شده، اما Docker می‌گوید اصلاح نقص را در ۳۰ سپتامبر ۲۰۲۶ اعمال کرده است. طبق گزارش شرکت، کاربران و مالکان سازمان‌های بالقوه درگیر در ۲ اکتبر مطلع شدند. انتشار این مرور در IROSG به معنی کشف تازه آسیب‌پذیری در امروز نیست.
نقص CVE-2026-105445 به تبدیل حساب شخصی Docker Hub به سازمان مربوط بود. در این فرایند، مالکیت بعضی توکن‌های دسترسی شخصی بدون تعویض یا ابطال راز توکن جابه‌جا می‌شد. پیامد می‌توانست دسترسی به عملیات رجیستری در محدوده اختیار توکن، از جمله خواندن یا انتشار ایمیج باشد.
Docker تصریح می‌کند که این نقص دسترسی به رابط وب حساب یا امکان تغییر گذرواژه، ایمیل و تنظیمات احراز هویت دومرحله‌ای را فراهم نمی‌کرد. بنابراین تعبیر آن به تصاحب کامل همه بخش‌های حساب دقیق نیست.
مرور دفاعی پیشنهادی تحریریه
برای یک سازمان فرضی، تاریخچه تبدیل حساب‌ها، اطلاعیه‌های دریافتی و فهرست توکن‌های انتشار را کنار هم قرار دهید. در بررسی زنجیره تأمین، علاوه بر نام ایمیج، digest خروجی مورد اعتماد و مسیر انتشار آن را نگه دارید.
کاربرد این مرور، ساختن فهرست شواهد است؛ نه اعلام آلودگی هر سازمانی که از Docker Hub استفاده می‌کند. دامنه اقدامات لازم باید با اطلاعیه رسمی و وضعیت واقعی حساب تطبیق داده شود. تغییر گذرواژه به‌تنهایی جای بررسی توکن‌های مستقل و دسترسی رجیستری را نمی‌گیرد.
