CVE-2026-12171

2.6.1 sürümünden önceki auto-changelog, hedef depo içerisindeki yapılandırmaları (.auto-changelog dosyası ve package.json içindeki auto-changelog anahtarı) seçeneklerine dahil eder ve bu güvenilmeyen kaynaktaki güvenlik açısından hassas seçenekleri uygular. handlebarsSetup seçeneği require() fonksiyonuna iletildiğinden, saldırgan tarafından kontrol edilen depo içeriğinde (örneğin, güvenilmeyen bir pull request head'ini çeken bir CI iş akışında veya yerel olarak çatallanmış ya da üçüncü taraf bir depoda) auto-changelog çalıştırılması; depo bağımlılıkları hiç yüklenmeden, iş akışı sırlarına erişim de dahil olmak üzere, çağıran kullanıcının veya CI işinin yetkileriyle saldırganın belirlediği kodun yürütülmesine neden olur. plugins seçeneği benzer şekilde depodan saldırgan kontrollü modülleri yükler. Aynı koşullar altında, appendGitLog/appendGitTag git argüman enjeksiyonuna (örneğin, rastgele dosyalar yazmak için --output= kullanımı) izin verir, output saldırgan etkili içeriğin rastgele yollara yazılmasına olanak tanır ve template saldırgan tarafından seçilen bir URL'ye giden istek gönderilmesine yol açar. Sürüm 2.6.1, depo içi yapılandırmayı güvenilmeyen olarak değerlendirir ve yeni --unsafe-config bayrağı geçilmediği sürece bu seçenekler ayarlandığında çalışmayı reddeder.