Una falla crítica (CVSS 9.9) en Quay permite a atacantes robar tokens de autenticación de cuentas robot entre diferentes tenants. El problema ocurre cuando la función de listado de cuentas robot construye patrones SQL con nombres de namespace controlados por el usuario sin escapar caracteres comodín como guiones bajos. Un atacante puede crear un namespace con este carácter para hacer match y obtener tokens decriptados de otros tenants, permitiendo operaciones no autorizadas con imágenes.
La vulnerabilidad clasifica como CWE-89 (inyección SQL) y se explota mediante aplicaciones expuestas públicamente (T1190). Aunque Shodan no reporta hosts afectados actualmente, la severidad es crítica para entornos multi-tenant de Quay expuestos a internet.
| CVE | CVE-2026-110697 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.9 / 10 |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.