PT-2026-140929
CVE-2026-123368
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
3.1
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
compose-lint الإصدارات من 0.22.0 إلى 0.30.0
Description
يفشل البرنامج في تطبيق فحوصات الاحتواء عند تتبع الروابط الرمزية
.env الشقيقة خارج المشروع، وبدءًا من الإصدار 0.28.0، يؤثر هذا أيضًا على روابط project directory المستخدمة في التضمينات. يمكن للمهاجم الإشارة إلى متغير من هذه الملفات المرتبطة عبر طلب سحب (pull request)، مما يؤدي إلى استبدال بيانات ملف المشغل أو بيئة العملية في السجلات، ونتائج JSON، وSARIF، وتنبيهات فحص الكود (Code Scanning). وبشكل محدد، قد تؤدي قراءة /proc/self/environ إلى كشف بيئة عملية الفاحص لأن الإدخالات المفصولة بـ NUL تُعامل كقيمة واحدة.Recommendations
التحديث إلى الإصدار 0.31.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾