CVE-2026-40923
Təsvir
Tekton Pipelines layihəsi CI/CD tipli konveyerlərin təyin edilməsi üçün k8s üslublu resurslar təmin edir. Versiya 1.0.0-dan başlayaraq və versiyalar 1.0.2, 1.3.4, 1.6.2, 1.9.3 və 1.11.1-dən əvvəlki versiyalarda, VolumeMount yol məhdudiyyətindəki validasiyadan yan keçmə, .. yol keçidi (path traversal) komponentlərindən istifadə etməklə məhdudlaşdırılmış /tekton/ daxili yolları altında həcmlərin (volumes) bağlanmasına imkan verir. Məhdudiyyət yoxlaması filepath.Clean olmadan strings.HasPrefix funksiyasından istifadə edir, buna görə də /tekton/home/../results kimi bir yol validasiyadan keçir, lakin iş vaxtı (runtime) zamanı /tekton/results olaraq müəyyən edilir. Versiyalar 1.0.2, 1.3.4, 1.6.2, 1.9.3 və 1.11.1 bu problemi aradan qaldırır.
Necə düzəltmək olar
- linuxfoundation tekton_pipelines1.11.1 və ya daha yeni versiya
- github.com/tektoncd/pipeline1.11.1, 1.9.3, 1.6.2, 1.3.4, 1.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation tekton_pipelines | v < 1.11.1 | 1.11.1 |
| github.com/tektoncd/pipelineGo | 1.10.0 ≤ v < 1.11.1, 1.7.0 ≤ v < 1.9.3, 1.4.0 ≤ v < 1.6.2, 1.2.0 ≤ v < 1.3.4, 1.0.0 ≤ v < 1.0.2, 1.1.0 ≤ v < 1.3.4 | 1.11.1, 1.9.3, 1.6.2, 1.3.4, 1.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.