CVE-2026-54168
Təsvir
Pipelines-as-Code istifadəçilərə mənbə kodu repozitoriyalarında Tekton konveyerlərini təyin etməyə imkan verən bir CI/CD sistemidir. 0.37.8, 0.39.6, 0.42.1 və 0.48.0 versiyalarından əvvəl, tətbiq çox sayda repozitoriyada quraşdırıldıqda, webhook emalı zamanı yaradılan GitHub App quraşdırma tokeni hadisəni tetikləyən repozitoriya ilə məhdudlaşdırılmır. Bir repozitoriyaya push girişi olan istifadəçi, eyni quraşdırmadakı şəxsi repozitoriyanı hədəf alan pipelinesascode.tekton.dev/task uzaq tapşırıq annotasiyası ehtiva edən PipelineRun göndərə bilər. ScopeTokenToListOfRepos heç bir açıq əhatə dairəsi qaytarmadıqda, çatışmayan tetikləyici repozitoriya ID-si tokenin bütün quraşdırmaya girişinə imkan verir. Pipelines-as-Code həmin token vasitəsilə uzaqdakı şəxsi tapşırığı həll edir və daxilinə yerləşdirir, beləliklə repozitoriyanın Tekton təriflərini ifşa edir. Nümayiş etdirilən təsir yalnız oxuma səlahiyyətləri ilə məhdudlaşır və yazma girişi təmin etmir. Bu problem 0.37.8, 0.39.6, 0.42.1 və 0.48.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- github.com/openshift-pipelines/pipelines-as-code0.37.8, 0.39.6, 0.42.1, 0.48.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/openshift-pipelines/pipelines-as-codeGo | v < 0.37.8, 0.38.0 ≤ v < 0.39.6, 0.40.0 ≤ v < 0.42.1, 0.43.0 ≤ v < 0.48.0 | 0.37.8, 0.39.6, 0.42.1, 0.48.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.