【漏洞预警】Docker Hub 个人账户转组织时 PAT 被改挂且不轮换（CVE-2026-105445）

2024-08-26 至 2026-09-30，Docker Hub 把个人账户转成组织时，可以把攻击者持有的 Personal Access Token 改挂到指定用户名下，且不轮换、不吊销密钥（CVE-2026-105445，CVSS 9.4）。攻击者仍可用原密钥在 registry 层以目标用户身份 pull、push、delete。Hub 已于 2026-09-30 修复转换流程，并于 2026-10-08 停用已识别的转移 PAT。请到账户设置里审查并吊销不明 token。