Vulnerabilità · 4 giorni fa
Wiz ha visto sfruttamento attivo di tre vulnerabilità in JFrog Artifactory self-hosted, tra cui un authentication bypass e un admin takeover. Il problema non finisce sul server: chi entra lì può prendere controllo del repository da cui partono build e release.
Una delle falle accetta un token perché firma e issuer sembrano corretti, ma non verifica se quel token sia davvero autorizzato per l'azione richiesta. In pratica, un token valido in apparenza diventa un pass da amministratore, con accesso a repository, credenziali e artefatti di release.
Per chi usa Artifactory come fonte fidata per build o deployment, l'esposizione riguarda anche ciò che i sistemi a valle considerano affidabile. JFrog ha indicato correzioni fino alla 7.133.11 per CVE-2026-42016 e update per CVE-2026-42018 e CVE-2026-82329; finché un'istanza resta esposta, l'impatto può estendersi oltre il singolo server.
Sfruttamento noto · CISA KEV
CVSS 8.1 HIGH: jFrog Artifactory (Self Hosted) versions before 7.133.11 are vulnerable to a privilege escalation attack due to a… EPSS 9% (95º percentile), in aumento rispetto a 0.9%.
Data di correzione federale CISA 25 set
Sfruttamento noto · CISA KEV
CVSS 9.8 CRITICAL: jFrog Artifactory contains an authentication weakness that, under default configuration, may allow an unauthenticated… EPSS 8% (94º percentile).
Data di correzione federale CISA 5 set · data superata
Sfruttamento noto · CISA KEV
CVSS 7.5 HIGH: jFrog Artifactory could return an internal anonymous-user token to an unauthenticated caller when anonymous access is…
Data di correzione federale CISA 25 set
1 fonte che coprono questa storia
Building an AI Detection Engine for Agent Intent | Wiz Blog
Learn how Wiz is building a detection engine that understand AI agent reasoning to flag manipulated intent that legacy security tools miss.
Part of the PlainSec briefing for 2026-09-20