Harbor 低于 2.13.6、2.14.0 至 2.14.4、2.15.0 至 2.15.2 存在三条高危问题：项目管理员可将 webhook 指向内网并读到错误响应（GHSA-2phj-cp9f-qq6w，CVSS 8.5）；/v2/ 路径中的 .. 可跨项目读写 manifest（GHSA-qj39-pjf2-wmrc，CVSS 8.3）；HTTP 认证代理下名为 admin 的用户会获得仓库管理员权限（GHSA-xvh7-74g6-29xw，CVSS 7.5）。请升级到 2.13.6、2.14.5 或 2.15.3。暂无 CVE 编号。
Harbor 低于 2.13.6、2.14.0 至 2.14.4、2.15.0 至 2.15.2 时，带有 User: Update 的系统机器人可以改任意用户的系统管理员标记；勾选覆盖所有项目并带有 Project 权限的系统机器人会变成全局权限（两条均为 High，CVSS 7.2，暂无 CVE 编号）。请升级到 2.13.6、2.14.5 或 2.15.3。同一批版本也修复了 CVE-2026-92770。
Harbor 扫描仪 AccessCredential 可经 q 过滤逐字符泄露（CVE-2026-92770）。官方修复版本为 2.13.6、2.14.5、2.15.3，以及 2.16.0 及以上；不可信用户能创建项目时请轮换扫描仪凭据。macOS Docker Sandboxes 升至 v0.42.0+（CVE-2026-77179 / 79994）；Docker MCP Gateway 升至 v0.42.2+（CVE-2026-55887）。
共 3 篇文章
