Kerngegevens
- Leverancier
- Jfrog
- Soort software
- –
- Getroffen versies
- JFrog Artifactory (Self Hosted) alle versies vóór 7.133.11
- Oplossing
- Update beschikbaar
- Opgeloste versie
- JFrog Artifactory (Self Hosted) 7.133.11
- CVE gepubliceerd
- 27 juli 2026
- Op de KEV-lijst sinds
- 11 september 2026
- Gepubliceerd op LekkenRadar
- 24 oktober 2026
- Laatst gewijzigd bij NVD
- 24 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In JFrog Artifactory (de zelf gehoste versie) zit een fout in de manier waarop toegangstokens worden gecontroleerd. Het systeem kijkt of de handtekening en de uitgever van een token kloppen, maar niet of het token wel de juiste bevoegdheid (scope) heeft. Daardoor kan iemand met beperkte rechten mogelijk meer doen dan bedoeld is. Het lek staat sinds september 2026 op de lijst van actief misbruikte lekken van CISA.
Wie loopt risico?
Je loopt risico als je een zelf gehoste JFrog Artifactory draait met een versie lager dan 7.133.11. De aanval gaat via het netwerk en vraagt volgens de gegevens geen handelingen van een gebruiker. De aanvaller heeft wel al beperkte rechten nodig. Hoe groter de kans dat jouw Artifactory bereikbaar is voor onbetrouwbare gebruikers of vanaf internet, hoe groter het risico.
Wat moet je doen?
Controleer je versie
Kijk welke versie van JFrog Artifactory (Self Hosted) je gebruikt. Alles lager dan 7.133.11 is getroffen.
Werk Artifactory bij
Installeer versie 7.133.11 of nieuwer. Kies bij voorkeur meteen 7.146.35 of 7.161.16: daarmee zijn ook de twee andere actief misbruikte Artifactory-lekken opgelost.
Beperk de bereikbaarheid
Kun je niet meteen bijwerken, zorg dan dat Artifactory niet zomaar vanaf internet bereikbaar is en dat alleen vertrouwde gebruikers erbij kunnen.
Kijk of er misbruik is geweest
Omdat het lek actief wordt misbruikt, is het verstandig logboeken en recent gebruikte tokens en accounts na te lopen op onverwachte activiteit. Trek verdachte tokens in.
Meer misbruikte Artifactory-lekken
Ook deze Artifactory-lekken worden misbruikt: een anonieme token zonder inlog (CVE-2026-42018, https://lekkenradar.nl/cve/cve-2026-42018/) en schrijven buiten het Docker-cachepad (CVE-2026-66384, https://lekkenradar.nl/cve/cve-2026-66384/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Artifactory valideert bij tokens alleen de handtekening en de uitgever (issuer), en niet de scope van het token. Dit is een geval van onjuiste autorisatie (CWE-863): een token dat authentiek is, wordt geaccepteerd voor acties waarvoor het geen bevoegdheid zou mogen hebben. Dat leidt tot privilege-escalatie. De CVSS-vector (CVSS 3.1) wijst op aanval via het netwerk, lage complexiteit, lage benodigde rechten, geen gebruikersinteractie en grote gevolgen voor vertrouwelijkheid en integriteit, zonder gevolgen voor beschikbaarheid. De leverancier heeft het lek opgelost in versie 7.133.11.
CVSS-vector (versie 3.1, basisscore 8,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-863 · Onjuiste autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 8,6%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 11 september 2026
- Deadline van CISA
- 25 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend