PT-2026-141813
CVE-2026-125121
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
compose-lint الإصدارات السابقة لـ 0.32.0
Description
توجد مشكلة حيث يمكن تفسير المدخلات غير الموثوقة كأوامر سير عمل بواسطة مشغلات CI. يحدث هذا لأن البرنامج يفشل في هروب مفاتيح فتح الأوامر بشكل صحيح في عدة سيناريوهات: لا يتم هروب المسافات البيضاء Unicode التي تسبق
:: ، ولا يتم تعقيم تنسيقات JSON و SARIF المطبوعة على stdout ، وتطبع بعض أخطاء سطر الأوامر الوسائط الخام. بالإضافة إلى ذلك، لا يتم هروب أوامر تسجيل ##vso[ الخاصة بـ Azure Pipelines. يسمح هذا للمهاجم بإنشاء تعليقات توضيحية، أو إخفاء أجزاء من سجلات العمل، أو إصدار أوامر أخرى للمشغل عبر قيم Compose أو مسارات المستودع أو أسماء الخدمات المصممة خصيصاً. تؤثر هذه المشكلة على حزمة compose-lint و hook ما قبل الالتزام (pre-commit) وصورة Docker عند تشغيلها مباشرة في CI. تتأثر GitHub Action فقط عندما يشير المعامل sarif-file: إلى دليل فرعي لا يمكن إنشاؤه.Recommendations
التحديث إلى الإصدار 0.32.0 أو أحدث.
في GitHub Actions، استخدم Action
tmatens/compose-lint أو أحط الخطوة بـ ::stop-commands::<random token> و ::<token>::.
في GitHub Action، حافظ على وجود sarif-file في جذر مساحة العمل (على سبيل المثال، sarif-file: results.sarif).
توجيه مخرجات --format json و --format sarif إلى ملف بدلاً من السجل.
إنهاء args: الخاصة بـ pre-commit hook بـ -- وإحاطة الخطوة بـ ::stop-commands:: في CI.
في Azure Pipelines، تجنب طباعة مخرجات عمليات التشغيل الخاصة بطلبات السحب (pull requests) غير الموثوقة في سجل العمل. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾