Docker Hub corrige une faille critique permettant l'usurpation d'utilisateurs et la modification d'images

Docker a divulgué une vulnérabilité critique (CVE-2026-105445) dans Docker Hub qui permettait à un attaquant d'accéder aux dépôts de conteneurs d'un autre utilisateur via un personal access token (PAT). Le problème venait de la réattribution d'un PAT au propriétaire d'une organisation sans changer le secret ni obtenir le consentement de la cible, ce qui laissait l'attaquant s'authentifier en tant que victime et potentiellement extraire, pousser ou supprimer des images. La faille a été introduite le 26 août 2024, signalée le 30 septembre 2026 et corrigée en production en moins de quatre heures ; Docker indique n'avoir trouvé aucune preuve d'exploitation après examen de 304 000 push effectués avec des tokens transférés.