Docker Hub 漏洞讓使用者可冒用他人身分，時隔兩年才修補
· 資安 · 美國
Docker 揭露 Docker Hub 一個重大漏洞，編號 CVE-2026-105445。Docker Hub 是發布與下載容器映像的登錄庫，該漏洞讓單一使用者可濫用個人存取權杖，冒用他人身分推送、拉取或刪除映像，問題根源在於將個人帳號轉換為組織帳號的功能。Docker 已於 9 月 30 日修補，並表示未發現任何人曾加以利用。另一方面，研究人員發現攻擊者無須竊取憑證即可推送他人套件的新版本，導致超過 1,500 個套件面臨遭劫持的風險，GitHub 因此收緊 npm 發布機制，現在會讓未經驗證的 npm 信任發布設定在建立 48 小時後失效。這兩起事件都凸顯軟體供應鏈所依賴的共享登錄庫與套件來源之風險。
為什麼重要：登錄庫與套件來源是軟體供應鏈的單一信任點，因此冒用或劫持類漏洞可讓攻擊者同時竄改眾多組織所使用的程式碼。
重點
- Docker Hub 漏洞 CVE-2026-105445 可透過個人存取權杖冒用他人身分操作映像。
- Docker 已於 9 月 30 日修補，並表示未發現遭利用的證據。
- GitHub 現在讓未經驗證的 npm 信任發布設定於 48 小時後失效；逾 1,500 個套件曾面臨風險。