CVE-2026-58370

3.15.0 öncesindeki Woodpecker, ApprovalAllowedUsers baypas listesini pipeline.Author ile karşılaştırır. GitLab forge sürücüsü için pipeline.Author, webhook yükünde taşınan ve saldırgan tarafından kontrol edilen ve GitLab tarafından doğrulanmayan git commit yazar adından (commit.author.name) doldurulur. Bir fork üzerinden birleştirme isteği (merge request) açabilen bir kullanıcı, commit yazar adını ApprovalAllowedUsers içindeki bir girişle eşleşecek şekilde ayarlayabilir; bu durum needsApproval'ın false dönmesine neden olarak boru hattının gerekli onay olmadan çalışmasını sağlar. Bu durum, fork-onay güvenlik sınırını etkisiz hale getirir ve bir Woodpecker ajanı üzerinde saldırgan kontrollü boru hattı adımlarının yürütülmesine ve çalıştırmaya açık olan CI sırlarının sızdırılmasına izin verir. Diğer yerleşik forge sürücüleri (Gitea, Forgejo, GitHub, Bitbucket), pipeline.Author bilgisini forge tarafından doğrulanmış gönderici/aktör kimliğinden türetir ve etkilenmezler.