Docker Blog · Deanna Sparks ·
Docker Hub Security Advisory: CVE-2026-105445
Docker informa que una falla en la conversión de cuentas personales a organizaciones podía transferir los personal access tokens (PAT) al nuevo propietario sin cambiar sus secretos ni pedir su consentimiento. Un atacante podía usar esos tokens para acceder al registro con el alcance de la víctima y potencialmente extraer, publicar o eliminar imágenes, aunque no podía entrar en la interfaz web ni tomar el control de la cuenta. Docker corrigió el problema, desactivó los tokens transferidos y afirma que su investigación no encontró pruebas de explotación; además, describe las notificaciones a los usuarios afectados y las medidas para mejorar el consentimiento y la trazabilidad de los cambios de propiedad de credenciales.
CVE-2026-105445: Docker Hub account conversion could re-assign personal access tokens to a new owner. Read what happened, who was affected, and the fix.