PT-2026-140933
CVE-2026-123372
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
compose-lint الإصدارات من 0.22.0 إلى 0.31.0
الوصف
يقوم البرنامج باستبدال القيم من ملف .env مجاور في حقول الصور ويضع القيمة المستخرجة بين علامتي تنصيص في رسائل الاكتشاف ونصوص الإصلاح CL-0004 و CL-0019. في سير العمل الذي يكتب الأسرار في ذلك الملف ثم يفحص محتوى طلبات السحب (pull-request) غير الموثوقة، يمكن للمهاجم الإشارة إلى متغير سري بحيث تظهر قيمته الكاملة في سجلات الوظيفة، ومخرجات JSON، ومخرجات SARIF، وتنبيهات فحص الكود (Code Scanning). يتطلب الاستغلال سير عمل يحتوي على أسرار، مثل
pull request target أو فروع من نفس المستودع أو ملف .env محفوظ على برنامج تشغيل مستضاف ذاتيًا.التوصيات
التحديث إلى الإصدار 0.32.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾