5.7 Moyenne

CVE-2026-114409 Docker Desktop logs can expose stored third-party credentials

Description

Docker Desktop before version 4.97.0 could write third-party API keys and OAuth access tokens in cleartext to local application logs and diagnostics bundles due to insufficient IPC payload redaction. An attacker with read access to these files could obtain the credentials. These OAuth tokens are not Docker account tokens. Docker Desktop 4.94.0 and 4.95.0 addressed the known logging paths, but logs containing credentials can remain after upgrading. Docker Desktop 4.97.0 fixes the issue and includes cleanup of existing host logs and crash dumps.

Détail CVSS 4.0

CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Exploitable avec un accès local à la machine, avec un compte ordinaire et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Local
Complexité: Faible
Prérequis d’attaque: Présents
Privilèges requis: Faibles
Interaction: Aucune
Confidentialité: Élevé
Intégrité: Aucun
Disponibilité: Aucun
Confidentialité des autres systèmes: Aucun
Intégrité des autres systèmes: Aucun
Disponibilité des autres systèmes: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Docker Desktop 4.97	premières → < 4.97.0	4.97.0
Docker Desktop 4.39	4.39.0 → < 4.97.0	4.97.0

Références

docs.docker.com docs.docker.com
docs.docker.com docs.docker.com

Chronologie

Publiée 27 octobre 2026
Dernière modification 4 novembre 2026

Les 22 CVE de Docker Desktop →

CVE-2026-112917 Docker Desktop WSL2 AF_VSOCK isolation bypass via 32-bit socketcall 9.2 Critique CVE-2026-106581 Before 4.92.0, Docker Desktop for Windows did not verify the signature of a package supplied to Docker Desktop… 8.2 Élevée CVE-2026-17106 The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the ApplyLayer… 7.1 Élevée CVE-2026-8936 Fixed a VM panic caused by unbounded recursion in the grpcfuse kernel module when a container created deeply nested… 8.2 Élevée

Suivre cette CVE