【漏洞预警】Docker Hub 个人账户转组织时 PAT 被改挂且不轮换（CVE-2026-105445）

2024-08-26 至 2026-09-30，Docker Hub 把个人账户转成组织时，可以把攻击者持有的 Personal Access Token 改挂到指定用户名下，且不轮换、不吊销密钥（CVE-2026-105445，CVSS 9.4）。攻击者仍可用原密钥在 registry 层以目标用户身份 pull、push、delete。Hub 已于 2026-09-30 修复转换流程，并于 2026-10-08 停用已识别的转移 PAT。请到账户设置里审查并吊销不明 token。

2026/10/14·Docker漏洞预警·3 次阅读

Docker HubCVE

【漏洞预警】vLLM LlavaOnevision2 处理器绕过 trust_remote_code（CVE-2026-90553）

vLLM 在加载 LlavaOnevision2 处理器时忽略 trust_remote_code，恶意模型可在 processing_llava_onevision2.py 植入任意代码并以 vLLM 进程权限执行（CVE-2026-90553，CVSS 约 7.8 High）。请将 vLLM / vllm-openai 升至 ≥ 0.28.0；未升级前勿加载不受信多模态模型仓库。

2026/9/13·Docker部署教程·23 次阅读

vLLMCVE

共 2 篇文章