Harbor 漏洞列表

An access control issue in Harbor v1.X.X to v2.5.3 allows attackers to access public and private image repositories without authentication Shodan: http.favicon.hash:657337228 Fofa: icon_hash="657337228"

Harbor 1.7.0 through 1.8.2 is susceptible to privilege escalation via core/api/user.go, which allows allows non-admin users to create admin accounts via the POST /api/users API when Harbor is setup with DB as an authentication backend and allows user to do self-registration.

Harbor存在未授权访问漏洞，该漏洞是由于/api/接口对用户发送的请求验证不当导致的。

Harbor中存在特权升级漏洞。该漏洞是由于对用户API的HTTP请求的验证不足导致的。

Harbor 是一个开源的 Docker Registry 管理项目，用于托管容器镜像。 Harbor 受影响版本中镜像仓库存在访问控制缺陷，目录的注册表v2api暴露在未经身份验证的路径上。

Harbor 1.7.6之前版本和Harbor1.8.3之前版本中的core/api/user.go文件存在安全漏洞。若开放注册功能，攻击者可利用该漏洞创建admin账户。注册功能默认开放。攻击者可以以管理员身份下载私有项目并审计；可以删除或污染所有镜像。目前PoC已公开，建议受影响的客户尽快升级。