PT-2026-47274 · Red Hat · Quay

Toni Gornals · Publicado 2026-06-08 · Atualizado 2026-06-08 · CVE-2026-11569

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Quay (versões afetadas não especificadas)

Descrição Uma falha existe no endpoint 'filedrop' que aceita qualquer tipo mime sem validação. Isso permite que um usuário autenticado com acesso de escrita ao repositório faça o upload de um arquivo SVG malicioso contendo JavaScript. Como o arquivo é armazenado e servido inline através da CDN, isso possibilita o cross-site scripting (XSS) armazenado, uma técnica onde um script malicioso é permanentemente armazenado no servidor alvo e executado quando uma vítima visita a URL do arquivo.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-11569

Produtos afetados

Quay

Referências · 5

• https://access.redhat.com/security/cve/CVE-2026-11569 · Nota
• https://twitter.com/VulmonFeeds/status/2063977632614461750 · Publicação no Twitter
• https://bugzilla.redhat.com/show_bug.cgi?id=2486194 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-11569 · Nota de Segurança
• https://twitter.com/CVEnew/status/2063958161283764477 · Publicação no Twitter