CVE-2026-125122

اسم البرنامج المصاب والإصدارات المتأثرة compose-lint الإصدار 0.31.0

Description عند استخدام --format json أو --format sarif لطباعة المخرجات إلى stdout، يفشل البرنامج في تعقيم فاتح أمر سير العمل ##[ داخل السلاسل النصية. يسمح هذا لطلب السحب (pull request) بتضمين هذا الفاتح في اسم الخدمة أو أي قيمة أخرى في Compose، والتي يتعرف عليها مشغل GitHub Actions وينفذها حتى عندما تكون مدمجة في سطر متسلسل. يمكن أن يؤدي ذلك إلى إنشاء تعليقات توضيحية غير مصرح بها، أو طي وإخفاء أجزاء من سجل الوظيفة، أو إصدار أوامر أخرى يقبلها المشغل. تحدث هذه المشكلة عندما تقوم الحزمة، أو خطاف ما قبل الالتزام (pre-commit hook)، أو صورة Docker بطباعة المخرجات في سجل CI، ولكنها لا تؤثر على نتيجة نجاح أو فشل عملية الفحص (lint).

Recommendations تحديث compose-lint إلى الإصدار 0.32.0 أو إصدار أحدث. كتابة مخرجات --format json و --format sarif في ملف بدلاً من السجل. في GitHub Actions، استخدم Action tmatens/compose-lint. تأطير خطوة compose-lint باستخدام ::stop-commands::<random token> و ::<token>:: لتعطيل معالجة الأوامر.