Kerngegevens
- Leverancier
- Jfrog
- Product
- JFrog Artifactory
- Soort software
- –
- Getroffen versies
- JFrog Artifactory tot 7.146.35, vanaf 7.161.0 tot 7.161.16
- Oplossing
- Update beschikbaar
- Opgeloste versie
- JFrog Artifactory 7.146.35
- JFrog Artifactory 7.161.16
- CVE gepubliceerd
- 12 augustus 2026
- Op de KEV-lijst sinds
- 27 augustus 2026
- Gepubliceerd op LekkenRadar
- 23 oktober 2026
- Laatst gewijzigd bij NVD
- 23 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In JFrog Artifactory kan een ingelogde gebruiker onder bepaalde omstandigheden bij een remote repository gegevens wegschrijven buiten het pad dat bedoeld is voor de Docker-cache. Het lek staat sinds augustus 2026 op de lijst van actief misbruikte lekken van CISA. De ernst is middel (5,3), mede omdat een aanvaller al toegang met een account nodig heeft en de omstandigheden specifiek moeten zijn.
Wie loopt risico?
Je loopt risico als je een zelf beheerde Artifactory draait met een versie vóór 7.146.35, of een versie vanaf 7.161.0 die ouder is dan 7.161.16. De aanval gaat via het netwerk en vraagt een geldig account. Het risico is dus groter als veel mensen of systemen toegang hebben tot jouw Artifactory, of als die vanaf internet bereikbaar is.
Wat moet je doen?
Controleer je versie
Kijk welke versie van Artifactory je gebruikt en of die onder de getroffen versies valt: ouder dan 7.146.35, of vanaf 7.161.0 ouder dan 7.161.16.
Werk Artifactory bij
Update naar 7.146.35 als je op de oudere reeks zit, of naar 7.161.16 als je op de nieuwere reeks zit. Op de pagina's van de leverancier vind je de releasenotes en het beveiligingsadvies.
Beperk de toegang
Zorg dat alleen de gebruikers en systemen die het nodig hebben bij je Artifactory kunnen, en dat de dienst niet onnodig vanaf internet bereikbaar is.
Controleer je account- en repositoryinstellingen
Kijk welke accounts rechten hebben en welke remote repositories je gebruikt. Verwijder wat niet meer nodig is.
Ook actief misbruikt: anonieme token
Een tweede Artifactory-lek, waarmee iemand zonder inlog een interne token kan krijgen, wordt ook misbruikt (CVE-2026-42018, https://lekkenradar.nl/cve/cve-2026-42018/). Met 7.146.35 of 7.161.16 is dat lek ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een pad-traversal (CWE-22): de beperking van een padnaam tot de bedoelde map is onvoldoende. Een geauthenticeerde gebruiker kan onder specifieke omstandigheden met een remote repository gegevens schrijven buiten het bedoelde Docker-cachepad. De CVSS-vector (3.1) is AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N. Dat betekent aanvalsroute via het netwerk, hoge complexiteit, lage rechten en geen gebruikersinteractie. De gevolgen liggen vooral bij de integriteit van gegevens, niet bij vertrouwelijkheid of beschikbaarheid. Het lek staat sinds 27 augustus 2026 in de KEV-catalogus van CISA.
CVSS-vector (versie 3.1, basisscore 5,3, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N- Zwakheid (CWE)
- CWE-22 · Onjuiste beperking van een padnaam tot een afgeschermde map (pad-traversal)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 27 augustus 2026
- Deadline van CISA
- 10 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend