CVE-2026-62286— Dozzle 容器标签过滤限制事件和统计流
一分钟漏洞结论
影响对象
amir20 dozzle
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Dozzle 是一个用于 Docker 容器的实时日志查看工具。在版本 10.6.7 之前， 中的 函数仅对容器列表应用了受限用户的标签过滤器，但未将该过滤器应用于通过 返回的容器统计和容器事件通道。在采用按用户过滤策略的简单认证部署环境中，任何经过身份验证的受限账户均可获取超出其授权标签范围之外的容器的资源遥测数据和生命周期事件。 暴露的数据包括容器名称、镜像、完整标签映射、CPU 和内存使用情况、网络与磁盘使用总量，以及被监控主机上的部署或重启活动；但不包括日志内容、环境变量或执行访问权限。该问题已在版本 10
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-62286 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Dozzle label filters do not restrict container event and statistics streams
来源: CVE Program / CVE List V5
Vulnerability Description
Dozzle is a realtime log viewer for docker containers. Prior to 10.6.7, streamEvents in internal/web/events.go applies a restricted user's label filter to container lists but not to the container-stat and container-event channels returned by GET /api/events/stream. In a simple-auth deployment using per-user filters, any authenticated restricted account can receive resource telemetry and lifecycle events for containers outside its authorized label scope. The exposed data includes container names, images, full label maps, CPU and memory use, network and disk totals, and deployment or restart activity across monitored hosts, but does not include log contents, environment values, or exec access. This issue is fixed in version 10.6.7.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-62286 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-62286 的情报信息
请登录查看更多情报信息。
CVE-2026-62286 补丁与修复 (2)
CVE-2026-62286 厂商安全公告 (1)
CVE-2026-62286 厂商页面 (1)
-
Release v10.6.7 · amir20/dozzle · GitHub x_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-62286
暂无评论