#安全资讯 Docker Hub 账户转组织流程出现高危安全漏洞，个人访问令牌未被正常撤销权限导致可以访问组织仓库。该漏洞评分达到 9.4 分，自 2024 年 8 月 26 日起就存在，直到 2026 年 9 月 30 日完成修复。该漏洞已经在服务端完成修复，用户不需要执行任何操作。查看全文：https://ourl.co/127343

容器镜像托管平台 Docker Hub 日前披露已经修复的高危安全漏洞，该漏洞位于账户转组织流程中，攻击者可以让自己持有的个人访问令牌改以另一用户身份通过镜像仓库认证，进而在该用户权限范围内获得拉取、推送镜像。

该漏洞编号 CVE-2026-105445，漏洞评分为 9.4/10 分，影响时间从 2024 年 8 月 26 日持续到 2026 年 9 月 30 日。目前 Docker 已经在服务端修复漏洞，用户无需执行其他操作。

Docker Hub 将个人账号转为组织账号时，会把账户名下的 PAT 个人访问令牌重新关联到指定的新组织所有者，没有正确更换或撤销令牌密钥。攻击者仍然持有密钥，令牌会以目标身份访问仓库，权限包括目标用户自己的镜像仓库及可以访问的组织仓库。

该漏洞影响镜像仓库操作，但不能用于登录 Docker Hub 网页、修改目标账户密码、邮箱或者多因素认证设置，也不能接管组织或其他成员的账号。

Docker 于 2026 年 9 月 30 日收到研究人员通报的漏洞报告，随后 Docker 确认漏洞并在短短 4 小时内发布更新修复漏洞，此次修复是在服务端执行的，无需用户安装软件更新。

Docker 回溯漏洞存在期间的账户转换记录并审查约 30.4 万次相关推送，没有证据表明这个流程漏洞已经被恶意用户用于发布镜像。最后从 10 月 8 日开始 Docker 已经批量停用已经识别出来的转移令牌，这些令牌无法再用于操作组织仓库。

消息源：Docker

热门推荐仅需99元/年，硅谷CN2GIA服务器，另有3年版仅需528元，限量销售，售完即止