Self-hosted JFrog Artifactory versions 7.111.4 prior to 7.111.21, 7.117.x prior to 7.117.28, 7.125.x prior to 7.125.20, 7.133.x prior to 7.133.29, 7.146.x prior to 7.146.38 and 7.161.x prior to 7.161.20 suffer from an authentication bypass vulnerability. The JFrog Access service trusts a blank join key on a default installation, and the HMAC secret derived from that blank key is a known value. A remote and unauthenticated attacker can therefore forge a cluster join token, submit it to the unauthenticated cluster join endpoint and be granted an access token scoped to `admin`, which can be exchanged for a platform administrator token to read the server configuration, enumerate all the platform tokens or tamper with the hosted artifacts.

7.111.21より前、7.117.28より前の7.117.x、7.125.20より前の7.125.x、7.133.29より前の7.133.x、7.146.38より前の7.146.x、7.161.20より前の7.161.xのセルフホストJFrog Artifactoryのバージョン7.111.4、認証バイパスの脆弱性があります。JFrog Access サービスは、デフォルトのインストールで空白の join キーを信頼し、その空白の鍵から派生した HMAC 秘密は既知の値です。したがって、リモートの認証されていない攻撃者がクラスター参加トークンを偽造し、それを認証されていないクラスター参加エンドポイントに送信し、「admin」の範囲のアクセストークンを付与され、これをプラットフォーム管理者トークンと交換してサーバー構成を読み取り、すべてのプラットフォームトークンを列挙したり、ホストされたアーティファクトを改ざんしたりする可能性があります。

自托管 JFrog Artifactory 版本7.111.47.111.21低于 、 低于 7.117.287.117.x 、 7.125.207.125.x 低于 、 7.133.297.133.x 低于 、 7.146.387.146.x7.161.x 遭受7.161.20认证绕过漏洞。JFrog Access 服务在默认安装中信任一个空白的加入密钥，而从该空白密钥派生的 HMAC 密码是已知值。因此，未经认证的远程攻击者可伪造群集加入标记，将其提交到未经认证的群集加入端点并获得范围为“admin”的访问标记，该标记可以兑换平台管理员标记以读取服务器配置、枚举所有平台标记或篡改托管的构件。

自我託管的 JFrog Artifactory 版本7.111.4在 之前 ， 7.125.x7.117.287.117.x7.125.20之前 ， 之前 、 7.133.297.133.x 之前 和 7.146.x7.146.387.161.x之前7.161.20遭受繞過身份驗證弱點。7.111.21 JFrog Access 服務信任預設安裝上的空白加入金鑰，而從該空白金鑰衍生的 HMAC 密碼是已知值。因此，遠端且未經驗證的攻擊者可以偽造叢集加入權杖，將其提交至未經驗證的叢集加入端點，並被授予範圍為「admin」的存取權杖，該權杖可以交換為平台管理員權杖，以讀取伺服器設定、列舉所有平台權杖或竄改託管的成品。

根據其自我報告的版本號，遠端主機上安裝的 JFrog Artifactory 版本在 7.111.47.111.21之前 、 7.117.x7.117.28之前 、 7.125.207.125.x 之前 、 7.133.x7.133.29之前 、 7.146.387.146.x 之前 或 7.161.x7.161.20之前 。因此會受到一個驗證繞過弱點影響。
在預設設定下，具有網路存取權的未經驗證攻擊者可能會取得管理權限。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

自己報告されたバージョン番号によると、リモートホストにインストールされているJFrog Artifactoryのバージョンは、7.111.47.111.21より前、7.117.xより前、7.117.287.125.x7.125.20より前、7.133.x より前、7.133.29より前、7.146.x7.146.38より前、または7.161.20より前の7.161.xです。したがって、認証バイパスの脆弱性の影響を受けます。
デフォルト設定では、ネットワークアクセス権を持つ認証されていない攻撃者が、管理者権限を取得する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

根据其自我报告的版本号，远程主机上安装的 JFrog Artifactory 版本低于 7.111.47.111.21、 7.117.x7.117.28低于 、 7.125.207.125.x 低于 、 7.133.x7.133.29低于 、 7.146.387.146.x 或7.161.x7.161.20低于 。因而会受到身份验证绕过漏洞的影响。
在默认配置下，具有网络访问权限的未经身份验证的攻击者可能会获得管理权限。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

According to its self-reported version number, the version of JFrog Artifactory installed on the remote host is 7.111.4 prior to 7.111.21, 7.117.x prior to 7.117.28, 7.125.x prior to 7.125.20, 7.133.x prior to 7.133.29, 7.146.x prior to 7.146.38, or 7.161.x prior to 7.161.20. It is, therefore, affected by an authentication bypass vulnerability.
Under default configuration, an unauthenticated attacker with network access may obtain administrative privileges.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
115462	JFrog Artifactory Authentication Bypass	Web App Scanning	Component Vulnerability	9/8/2026	9/8/2026	critical
115462	JFrog Artifactory の認証バイパス	Web App Scanning	Component Vulnerability	9/8/2026	9/8/2026	critical
115462	JFrog Artifactory 认证绕过	Web App Scanning	Component Vulnerability	9/8/2026	9/8/2026	critical
115462	JFrog Artifactory 驗證繞過	Web App Scanning	Component Vulnerability	9/8/2026	9/8/2026	critical
343483	JFrog Artifactory 7.111.4 < 7.111.21 / 7.117.x < 7.117.28 / 7.125.x < 7.125.20 / 7.133.x < 7.133.29 / 7.146.x < 7.146.38 / 7.161.x < 7.161.20 身份驗證繞過	Nessus	Misc.	9/7/2026	11/10/2026	critical
343483	JFrog Artifactory 7.111.4 < 7.111.21 / 7.117.x < 7.117.28 / 7.125.x < 7.125.20 / 7.133.x < 7.133.29 / 7.146.x < 7.146.38 / 7.161.x < 7.161.20 の認証バイパス	Nessus	Misc.	9/7/2026	11/10/2026	critical
343483	JFrog Artifactory 7.111.4 < 7.111.21 / 7.117.x < 7.117.28 / 7.125.x < 7.125.20 / 7.133.x < 7.133.29 / 7.146.x < 7.146.38 / 7.161.x < 7.161.20 认证绕过	Nessus	Misc.	9/7/2026	11/10/2026	critical
343483	JFrog Artifactory 7.111.4 < 7.111.21 / 7.117.x < 7.117.28 / 7.125.x < 7.125.20 / 7.133.x < 7.133.29 / 7.146.x < 7.146.38 / 7.161.x < 7.161.20 Authentication Bypass	Nessus	Misc.	9/7/2026	11/10/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical