PT-2026-123445
CVE-2026-102649
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Burrito الإصدارات السابقة لـ 0.13.0
الوصف
يقبل نقطة النهاية
POST /api/webhook أحداث GitHub و GitLab غير الموقعة إذا كانت إعدادات TerraformRepository تغفل webhookSecret أو تعينه كقيمة فارغة. يحدث هذا لأن مكتبة go-playground/webhooks تتجاوز التحقق من التوقيع أو الرمز عندما يكون السر فارغًا. يمكن لأي شخص يمكنه الوصول إلى نقطة نهاية burrito-server ويعرف عنوان URL لمستودع يتم تتبعه تزوير أحداث لإنشاء أو حذف موارد TerraformPullRequest مخصصة من خلال التلاعب بمتغيرات Branch و Base و ID. بالنسبة لأحداث pull request الخاصة بـ GitHub، يفشل المتحكم في مطابقة الفرع الموجود في الحمولة مع رقم طلب السحب الفعلي. يسمح هذا بتنفيذ terraform plan غير مصرح به باستخدام بيانات اعتماد git والسحابة المخزنة عن طريق ربط رقم طلب سحب حقيقي بفرع غير ذي صلة. نتيجة لذلك، قد يتم نشر الخطة الناتجة في سلسلة تعليقات طلب السحب الحقيقي، مما يكشف عن تغييرات في البنية التحتية لفرع آخر. على الرغم من أن ميزة التطبيق التلقائي (auto-apply) معطلة لهذه الطبقات، إلا أن تنفيذ الكود أثناء مرحلة التخطيط يعتمد على محتويات الفرع المحدد.التوصيات
التحديث إلى الإصدار 0.13.0.
التأكد من تكوين
webhookSecret وعدم تركه فارغًا لجميع بيانات اعتماد TerraformRepository لتفعيل التحقق من التوقيع. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾