PT-2026-141817
CVE-2026-125125
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
compose-lint الإصدارات من 0.30.0 إلى 0.31.0
Description
تفشل GitHub Action الخاصة بـ compose-lint في كتم الأوامر بشكل فعال عند طباعة مسار الدليل الذي تم حله بعد فشل إنشاء دليل فرعي لـ
sarif-file. يمكن للمهاجم استخدام طلب سحب (pull request) لإرسال رابط رمزي يشير إلى دليل يحتوي اسمه على سطر جديد يليه أمر سير عمل (workflow command). عند تشغيل التكامل المستمر (CI)، يمكن أن تؤدي رسالة الخطأ الناتجة إلى تنفيذ هذه الأوامر في سجل المهمة، مما يسمح بإنشاء تعليقات توضيحية أو طي وإخفاء أقسام من السجل. تؤثر هذه المشكلة فقط على Action عندما يشير المعامل sarif-file إلى دليل فرعي؛ ولا تؤثر على حزمة compose-lint، أو hook ما قبل الالتزام (pre-commit)، أو صورة Docker، أو التكوينات التي يكون فيها ملف SARIF في جذر مساحة العمل.Recommendations
التحديث إلى الإصدار 0.32.0 أو أحدث.
الحفاظ على
sarif-file في جذر مساحة العمل، على سبيل المثال sarif-file: results.sarif. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾