本文使用的 Docker 镜像
发布日期： 2026 年 11 月 6 日
风险等级： 高危（High）
漏洞编号： CVE-2026-123196
涉及镜像： quay.io/authorizer/authorizer — Quay
CVSS： 8.1（High，CVSS 3.1）
披露时间： NVD 于 2026 年 11 月 6 日收录；上游修复见 2.4.2 release
相关公告： NVD CVE-2026-123196 · Release 2.4.2
一、漏洞概述
低于 2.4.2 时，未认证攻击者可通过 gRPC metadata x-authorizer-url（或 REST 网关头 Grpc-Metadata-X-Authorizer-Url）控制邮件中密码重置 / magic-link 的主机，从而截获令牌并接管账户。CVSS 3.1 为 8.1。
二、漏洞状态
统计截止： 2026 年 11 月 6 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（NVD、上游 release） |
| 官方补丁 | ≥ 2.4.2（建议 2.4.4） |
| 镜像标签 | Quay 已有 2.4.2、2.4.4、latest |
| CISA KEV | 未列入 |
三、影响范围
依赖邮件重置或魔法链接的自托管 Authorizer。官方 OCI 镜像主要在 Quay：quay.io/authorizer/authorizer。Docker Hub 历史镜像 lakhansamani/authorizer 没有 2.4.x 修复标签，不要当作修复源。
四、修复建议
升到 ≥ 2.4.2，建议固定 2.4.4：
bashdocker pull quay.io/authorizer/authorizer:2.4.4
Quay： authorizer/authorizer
五、临时缓解措施
在升级之前：限制谁能直达 gRPC / REST 网关；审查出站邮件链路与重置 URL 是否落在预期域名。这不能代替 2.4.2 及以上。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Authorizer 的版本修复。本条官方修复镜像在 Quay，请从 quay.io/authorizer/authorizer 拉取并固定 2.4.4（或至少 2.4.2）。
七、参考链接
- NVD：CVE-2026-123196
- GitHub：Release 2.4.2
- Quay：authorizer/authorizer
阅读原文
轩辕镜像安全团队
2026 年 11 月 6 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。