5.6 Moyenne

CVE-2026-121541 Bake filesystem path entitlements approval can be skipped in some multi-target builds

Description

In Docker Buildx versions v0.19.0 through v0.38.0, an untrusted Bake definition that builds multiple targets together may expose files accessible to the Buildx client without the expected fs.read approval. Under certain conditions, filesystem paths from some targets are not verified against the approved entitlements. Users who run untrusted Bake definitions may be affected. The issue is fixed in v0.38.1.

Détail CVSS 4.0

CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Exploitable avec un accès local à la machine, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Local
Complexité: Faible
Prérequis d’attaque: Présents
Privilèges requis: Aucun
Interaction: Active
Confidentialité: Élevé
Intégrité: Aucun
Disponibilité: Aucun
Confidentialité des autres systèmes: Aucun
Intégrité des autres systèmes: Aucun
Disponibilité des autres systèmes: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Docker Buildx 0.19	0.19.0 → < 0.38.1	0.38.1

Références

github.com github.com

Chronologie

Publiée 3 novembre 2026
Dernière modification 3 novembre 2026

Les 4 CVE de Docker Buildx →

CVE-2026-121542 Bake filesystem path entitlements approval can be skipped for path using basename prefix 1.8 Faible CVE-2026-93325 Buildx bake requires the user to grant entitlements with --allow or an interactive prompt before a build reaches outside… 7.3 Élevée CVE-2026-103433 Docker Buildx Bake does not request the expected fs.read approval for certain filesystem inputs 6.9 Moyenne

Suivre cette CVE