PT-2026-115367 · Unknown · Terragrunt
CVE-2026-64672
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-19
CVSS v4.0
4.4
متوسطة
| المتجه | AV:L/AC:L/AT:P/PR:L/UI:P/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Terragrunt الإصدارات السابقة لـ 1.1.1
Description
يقوم الأمر
terragrunt catalog باستنساخ المستودعات في دليل مؤقت باستخدام مسار محدد مسبقاً يعتمد على تشفير base64 sha1 لرابط المستودع. يمكن لمهاجم محلي لديه صلاحية الكتابة في الدليل المؤقت المشترك للنظام التنبؤ بهذا المسار ووضع رابط رمزي (symlink) هناك. عند تنفيذ الأمر، يتبع Terragrunt الرابط الرمزي، مما يسمح للمهاجم بالتسبب في حذف دليل وإعادة استنساخ محتويات المستودع في موقع تعسفي خارج الجذر المؤقت المقصود. تؤثر هذه المشكلة على المستخدمين في الخوادم متعددة المستخدمين أو أدوات تشغيل CI المشتركة حيث يتواجد مستخدمون أو عمليات محلية غير موثوقة.Recommendations
التحديث إلى إصدار Terragrunt 1.1.1.
التأكد من عدم السماح لأطراف غير موثوقة بالتحكم في قيم متغيرات البيئة
TMPDIR و TMP و TEMP في البيئات التي يتم فيها تشغيل terragrunt catalog.إصلاح
Link Following
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Terragrunt