Kerngegevens
- Leverancier
- Jfrog
- Product
- JFrog Artifactory
- Soort software
- –
- Getroffen versies
- JFrog Artifactory tot 7.111.20, vanaf 7.117.0 tot 7.117.27, vanaf 7.125.0 tot 7.125.19, vanaf 7.133.0 tot 7.133.28, vanaf 7.146.0 tot 7.146.8
- Oplossing
- Update beschikbaar
- Opgeloste versie
- JFrog Artifactory 7.111.20
- JFrog Artifactory 7.117.27
- JFrog Artifactory 7.125.19
- JFrog Artifactory 7.133.28
- JFrog Artifactory 7.146.8
- CVE gepubliceerd
- 12 augustus 2026
- Op de KEV-lijst sinds
- 11 september 2026
- Gepubliceerd op LekkenRadar
- 23 oktober 2026
- Laatst gewijzigd bij NVD
- 23 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In JFrog Artifactory zit een fout in de controle op authenticatie. Ook als anoniem toegang uitgeschakeld is, kan het systeem een interne token van de anonieme gebruiker teruggeven aan iemand die niet is ingelogd. Daarmee kan een aanvaller mogelijk bij gevoelige onderdelen en bestanden komen. Het lek staat sinds september 2026 op de lijst van actief misbruikte lekken van het Amerikaanse CISA.
Wie loopt risico?
Je loopt risico als je een Artifactory-versie gebruikt die in de lijst met getroffen versies staat en de server via het netwerk bereikbaar is. De aanvaller hoeft niet in te loggen en jouw medewerking is niet nodig. Het lek speelt juist ook bij installaties waar je anonieme toegang bewust hebt uitgezet. Hoe groter de blootstelling aan internet, hoe groter het risico.
Wat moet je doen?
Controleer je versie
Kijk welke versie van Artifactory je draait en of die onder de getroffen versies valt: tot 7.111.20, vanaf 7.117.0 tot 7.117.27, vanaf 7.125.0 tot 7.125.19, vanaf 7.133.0 tot 7.133.28 of vanaf 7.146.0 tot 7.146.8.
Werk Artifactory bij
Installeer de opgeloste versie die bij jouw reeks hoort: 7.111.20, 7.117.27, 7.125.19, 7.133.28 of 7.146.8. Werk je toch bij, kies dan meteen 7.146.35 of 7.161.16: daarmee is ook het tweede actief misbruikte Artifactory-lek opgelost.
Beperk de bereikbaarheid
Zorg dat Artifactory niet onnodig vanaf internet bereikbaar is, bijvoorbeeld door toegang te beperken tot een intern netwerk of vpn, zolang je nog niet kunt bijwerken.
Kijk of er misbruik is geweest
Omdat het lek actief wordt misbruikt, is het verstandig om de logboeken van Artifactory na te lopen op ongebruikelijke toegang zonder inlog. Vervang geheimen en tokens als je aanwijzingen vindt.
Ook actief misbruikt: schrijffout in Docker-cache
Een tweede Artifactory-lek, waarmee ingelogde gebruikers buiten het Docker-cachepad kunnen schrijven, wordt ook misbruikt (CVE-2026-66384, https://lekkenradar.nl/cve/cve-2026-66384/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een geval van onjuiste authenticatie (CWE-287) in JFrog Artifactory. Wanneer anonieme toegang is uitgeschakeld, kan een niet-geauthenticeerde aanvaller toch een interne token van de anonieme gebruiker ontvangen. De aanval verloopt via het netwerk, vereist geen rechten en geen handelingen van een gebruiker. De CVSS-vector (CVSS 3.1, score 7,5 volgens de CNA) wijst op een grote impact op de vertrouwelijkheid en geen impact op integriteit of beschikbaarheid. De leverancier heeft opgeloste versies uitgebracht voor meerdere releasereeksen.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 9,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 11 september 2026
- Deadline van CISA
- 25 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend