CVE-2026-5366

Prefect versiyon 3.6.23, `GitRepository` depolama sınıfındaki kullanıcı kontrollü girdilerin uygun şekilde işlenmemesi nedeniyle uzaktan kod çalıştırmaya karşı savunmasızdır. Git komutlarına iletilen `commit_sha` parametresi doğrulamadan yoksundur ve kullanıcı girdisini git bayraklarından ayırmak için bir `--` ayırıcı içermemektedir. Bu durum, saldırganların `--upload-pack` gibi rastgele git bayrakları eklemesine ve böylece harici programların çalıştırılmasına olanak tanır. Ek olarak, `directories` parametresi, sparse-checkout işlemleri sırasında git bayrakları enjekte etmek için istismar edilebilir. Bu güvenlik açıkları, dağıtım oluşturma izinlerine sahip herhangi bir kullanıcının worker makinelerinde rastgele komutlar çalıştırmasına izin vererek çok kiracılı ortamlardaki paylaşılan çalışma havuzlarını tehlikeye atmaktadır.