CVE-2026-71494
Təsvir
Infracost mühəndislər, süni intellekt kodlaşdırma agentləri və CI/CD üçün bulud xərcləri üzrə kəşfiyyat təmin edir. Versiya 0.10.45-ə qədər, internal/hcl/remote_variables_loader.go və əlaqəli Terraform Cloud, remote-plan və Terragrunt reyestr sorğu yolları, konfiqurasiya edilmiş etibarlı host olduğunu təsdiqləmədən, etibarsız Terraform girişindən törəmiş hədəf host adına konfiqurasiya edilmiş Terraform Cloud və ya reyestr tokenini əlavə edə bilirdi. CI işi hücumçu tərəfindən idarə olunan Terraform fayllarını (pull_request_target və ya eyni repozitoriya pull request daxil olmaqla) skan edərkən token təqdim etdikdə, hücumçu sorğunu özünün idarə etdiyi hosta yönləndirə və tokeni ələ keçirə bilər. Sirrlər (secrets) olmadan standart fork pull_request iş axınları risk altında deyil. Bu problem 0.10.45 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/infracost/infracost0.10.45 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/infracost/infracostGo | v < 0.10.45 | 0.10.45 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.