CVE-2026-50141
Açıklama
Woodpecker bir CI/CD motorudur. Versiyon 3.0.0 ile başlayıp versiyon 3.14.1 öncesine kadar olan sürümlerde, Woodpecker CI'ın gRPC katmanındaki bir güvenlik açığı, kimliği doğrulanmış herhangi bir agent'ın, giden gRPC meta verilerine sahte bir `agent_id` değeri enjekte ederek aynı sunucudaki başka herhangi bir agent'ın kimliğine bürünmesine izin vermekteydi. Sunucu, JWT belirtecini doğru şekilde doğruluyor ancak ardından doğrulanmış agent kimliğini göz ardı ederek istemci tarafından sağlanan değeri kabul ediyordu. Versiyon 3.14.1 bu sorunu gidermektedir. Geçici bir çözüm olarak, organizasyon agent'larını devre dışı bırakın (`WOODPECKER_DISABLE_USER_AGENT_REGISTRATION=true`) ve mevcut olanları silin.
Nasıl düzeltilir
- go.woodpecker-ci.org/woodpecker/v33.14.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| go.woodpecker-ci.org/woodpecker/v3Go | 3.0.0 ≤ v < 3.14.1 | 3.14.1 |
| go.woodpecker-ci.org/woodpeckerGo | Aralık belirtilmemiş | — |
| go.woodpecker-ci.org/woodpecker/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.