CVE-2025-59844
Açıklama
SonarQube Server ve Cloud, sürekli kod kalitesi ve güvenlik denetimi için bir statik analiz çözümüdür. SonarQube GitHub Action'ın 4.0.0 ile 6.0.0 öncesi sürümlerinde, iş akışlarının kullanıcı kontrollü girdileri uygun doğrulama yapmadan Windows runner'lar üzerindeki args parametresine aktarması durumunda bir komut enjeksiyonu zafiyeti oluşmaktadır. Bu zafiyet, önceki bir güvenlik düzeltmesini atlatmakta ve rastgele komut çalıştırılmasına izin vererek potansiyel olarak hassas ortam değişkenlerinin ifşa olmasına ve runner ortamının ele geçirilmesine yol açabilmektedir. Zafiyet 6.0.0 sürümünde giderilmiştir. Kullanıcıların bu sürüme veya daha yeni bir sürüme yükseltme yapmaları önerilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| SonarSource sonarqube-scan-action | >= 4.0.0, < 6.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.