Представь: ты завёл аккаунт на Docker Hub, наклепал PAT-токенов для CI, потом аккаунт переехал в организацию — и всё, токены тихо сменили хозяина. Секрет тот же, а права уже от имени нового владельца. Согласия, разумеется, никто не спрашивал.
Дыру окрестили CVE-2026-105445, прикрыли 30 сентября: перенос PAT просто выпилили. Проверили около 304 тысяч публикаций образов с «переехавшими» токенами — следов эксплуатации не нашли. Веб-интерфейс и смену пароля ошибка не трогала, но публиковать и удалять образы в пределах прав токена было можно.
🔑 Мораль простая: меняешь владельца объекта — проверь, что стало с уже выданными ключами. Иначе твой старый токен однажды проснётся чужими руками.