CVE-2026-71494
Açıklama
Infracost; mühendisler, yapay zeka kodlama ajanları ve CI/CD için bulut maliyet istihbaratı sağlar. 0.10.45 sürümünden önce, internal/hcl/remote_variables_loader.go ve ilgili Terraform Cloud, remote-plan ve Terragrunt kayıt defteri istek yolları, yapılandırılmış güvenilir ana bilgisayar olduğunu doğrulamadan, güvenilmeyen Terraform girdisinden türetilen bir hedef ana bilgisayara yapılandırılmış bir Terraform Cloud veya kayıt defteri belirteci ekleyebilir. Bir CI çalışması, pull_request_target veya aynı depodaki bir çekme isteği dahil olmak üzere saldırgan tarafından kontrol edilen Terraform dosyalarını tararken bir belirteç sağladığında, bir saldırgan isteği kendi kontrolündeki bir ana bilgisayara yönlendirebilir ve belirteci ifşa edebilir. Sırların bulunmadığı standart fork pull_request iş akışları risk altında değildir. Bu sorun 0.10.45 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/infracost/infracost0.10.45 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/infracost/infracostGo | v < 0.10.45 | 0.10.45 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.