CVE-2026-5222
Cargo can be coerced to share credentials between registries
CVSS 3.1Low
2.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.96.0, 0.97.0
Обновить Cargo до версии 1.97 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка учетных данных между реестрами пакетов в Cargo из-за некорректной нормализации URL в sparse index.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Пакетный менеджер Cargo неверно нормализует URL сторонних реестров при работе по протоколу sparse index. При размещении нескольких реестров с произвольными именами на одном домене возможна непреднамеренная пересылка чужих токенов аутентификации.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Кража аутентификационных токенов пользователей одного реестра атакующим, имеющим право публикации пакетов в соседнем реестре на том же хосте.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
RustCargo
>= 1.68.0➔Fix: 1.96.0
——
>= 0➔Fix: 0.97.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)
- groups.google.comhttps://groups.google.com/g/rustlang-security-announcements/c/SfUxOiIdY5s
- blog.rust-lang.orghttps://blog.rust-lang.org/2026/05/25/cve-2026-5222/
- github.comhttps://github.com/rust-lang/cargo/pull/17031
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-5222: Cargo can be coerced to share credentials between registries. URL: https://cve.futuretools.ru/cve/CVE-2026-5222
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_5222,
title = {{CVE-2026-5222: Cargo can be coerced to share credentials between registries}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-5222}},
note = {Оперативный инженерный анализ киберугроз}
}