CVE-2026-116676

Atlantis, webhook'lar aracılığıyla Terraform pull request olaylarını dinleyen, kendi sunucunuzda barındırılan bir golang uygulamasıdır. 0.4.0 ile 0.47.1 versiyonları arasında Atlantis, atlantis.yaml dosyasındaki pull-request tarafından kontrol edilen workspace değerini, strings.Join(args, " ") ile birleştirilen ve sh -c üzerinden yürütülen Terraform komut argümanlarına aktarmaktadır. Pull request'i Atlantis planı için uygun olan kimliği doğrulanmış bir katkıda bulunan kişi, workspace adına kabuk meta karakterleri ekleyerek; özel iş akışları, apply izni veya kötü amaçlı bir Terraform sağlayıcısı olmaksızın rastgele komutların Atlantis servis hesabı olarak yürütülmesine neden olabilir. Harici katkıda bulunanlar bu açığa yalnızca --allow-fork-prs etkin olduğunda fork pull request'ler aracılığıyla erişebilirken, uygun aynı depo dalları bu seçeneği gerektirmez. Komutlar, Atlantis işlem ortamını devralır ve bulut sağlayıcı, Terraform ve versiyon kontrol kimlik bilgilerinin yanı sıra servisin erişebildiği dosyalara, durumlara (state) ve ağ kaynaklarına erişebilir. Bu sorun 0.47.1 versiyonunda düzeltilmiştir.