JFrog Artifactory ha due falle che permettono a utenti anonimi o con pochi privilegi di alterare i metadati dei repository, senza toccare gli artefatti. Il punto debole non è il package che si scarica, ma la traccia che dice ai consumer cosa fidarsi di prendere dopo.
Oligo Security ha descritto CVE-2026-69106 e CVE-2026-65922: la prima sfrutta intestazioni di routing accettate da Artifactory per avvelenare cache e indici condivisi; la seconda consente scritture in percorsi .jfrog/ trattati come fidati. In pratica, un repository può continuare a mostrare file integri mentre i riferimenti che li governano indirizzano build e utenti verso contenuti non fidati.
Per gli operatori di Artifactory, soprattutto in ambienti condivisi o esposti a Internet, la questione non è solo l’integrità del singolo artefatto. Se i metadati vengono corrotti, i controlli a valle possono restare puliti eppure seguire una fiducia già deviata.