中危

JFrog artifactory路径遍历漏洞(CVE-2026-66384)

2026-08-12 15:14:04 公开，2026-09-01 11:39:15 更新

CWEs：: CWE-22 （Path Traversal）
CAPEC：: CAPEC-126 （Path Traversal）、 CAPEC-64 （Using Slashes and URL Encoding Combined to Bypass Validation Logic）、 CAPEC-76 （Manipulating Web Input to File System Calls）、 CAPEC-78 （Using Escaped Slashes in Alternate Encoding）、 CAPEC-79 （Using Slashes in Alternate Encoding）
SSVC：: 可利用状态：已被积极利用攻击自动化：否技术影响评估：部分 2026-08-27 08:00:00

风险信息

漏洞类型: 路径遍历
漏洞描述: JFrog artifactory是美国JFrog公司的一个二进制制品仓库管理平台。JFrog artifactory 7.146.35之前版本和7.161.0至7.161.16之前版本存在路径遍历漏洞，位于JFrog Artifactory处理Docker远程仓库缓存的代码路径中。当Artifactory作为Docker镜像仓库的代理（remote repository）时，会将拉取的镜像层（layers）和清单（manifests）缓存到与远程仓库配置关联的指定缓存目录中。在特定远程仓库条件下，用于构建缓存路径的输入数据未经过充分的路径规范化处理遍历字符（如 ../）和相对路径片段在写入操作前未被完全剥离或拒绝，导致最终文件写入位置超出预期的缓存根目录。
修复建议: 请升级到7.161.16、7.146.35或更高版本，参考链接： https://docs.jfrog.com/releases/docs/jfrog-security-advisories https://docs.jfrog.com/releases/docs/artifactory-self-managed-releases