启用 Bearer 鉴权的 zot OCI 仓库在鉴权路径中把 DELETE 等非 GET/HEAD 方法一律映射为 push，且 Bearer 请求绕过细粒度鉴权；仅持有 pull,push、不含 delete 的 token 即可删除仓库范围内的 manifest 与 blob（CVE-2026-61833，CVSS 约 8.1 High）。请将 zot 升至 ≥ 2.1.18。
Renovate 列镜像 tag/digest 时跟随 registry Link 分页可导致凭据被恶意或被控仓库窃取（CVE-2026-88887）；binarySource=docker 下 gomod / gradle-wrapper 路径存在命令注入（CVE-2026-88885 / 88886）。请将 renovate/renovate 升至含修复的版本，并自查 CI 配置。
小团队自建代码托管，常见拆法是 Gitea / GitLab 管仓库，再另起 Jenkins、Drone 或一套 Runner 跑构建。Webhook、权限和备份各管各的，出问题要在两套后台之间对账。源码和制品若不能出内网，公有云托管按席位计费，完整企业 DevOps 套件又往往过重。更常见的目标是：**一台机器上同时有 Git、流水线和制品入口**，浏览器能管，数据落在自己的磁盘。
GitHub Actions、云厂商 CI 好用，但构建环境、插件版本、流水线数据都不在自己手里？Jenkins 是领先的开源自动化服务器——支持 持续集成（CI）、持续交付（CD），通过丰富插件生态把代码拉取、编译、测试、部署串成流水线，跑在你自己的服务器上，数据与配置完全可控。
共 4 篇文章
