PT-2026-140932
CVE-2026-123371
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
compose-lint الإصدارات من 0.2.0 إلى 0.31.0
الوصف
يقوم البرنامج تلقائيًا بتتبع الروابط الرمزية لملف سياسة
.compose-lint.yml الموجود خارج المشروع. إذا فشل تحليل YAML للملف الخارجي، يقوم النظام بتضمين جزء من السطر المستهدف في مخرجات الخطأ. يمكن للمهاجم استخدام طلب سحب (pull request) لتوجيه ملف السياسة نحو ملف بيانات اعتماد المشغل، مما قد يؤدي إلى كشف حوالي 30 حرفًا من محتوى الملف في الخطأ القياسي، وأخطاء JSON، وإشعارات تنفيذ أداة SARIF التي يتم رفعها بواسطة GitHub Action. على الرغم من أن العملية تنتهي بخطأ ولا يمكن للمهاجم تحديد السطر المكشوف بدقة، إلا أن السجلات العامة أو مخرجات فحص الكود (Code Scanning) قد تكشف جزءًا من الهدف.التوصيات
التحديث إلى الإصدار 0.32.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾