Vulnerabilidad en dependency-track de DependencyTrack (CVE-2025-61776)

Dependency-Track es una plataforma de análisis de componentes que permite a las organizaciones identificar y reducir el riesgo en la cadena de suministro de software. Antes de la versión 4.13.5, Dependency-Track puede enviar credenciales destinadas a un repositorio NuGet privado a 'api.nuget.org' a través del encabezado HTTP 'Authorization', y puede divulgar nombres y versiones de componentes marcados como internos a 'api.nuget.org'. Esto puede ocurrir si la instancia de Dependency-Track contiene componentes .NET, se ha configurado un repositorio NuGet personalizado, el repositorio personalizado se ha configurado con credenciales de autenticación, y el servidor del repositorio no proporciona el recurso 'PackageBaseAddress' en su índice de servicio. El problema se ha solucionado en Dependency-Track 4.13.5. Algunas soluciones alternativas están disponibles. Deshabilite los repositorios NuGet personalizados hasta que se haya aplicado el parche, invalide las credenciales utilizadas anteriormente y genere nuevas credenciales para su uso después de que se haya aplicado el parche.