CVE-2026-64672

Nome do Software Vulnerável e Versões Afetadas Terragrunt versões anteriores a 1.1.1

Description O comando terragrunt catalog clona repositórios em um diretório temporário usando um caminho determinístico baseado em um hash sha1 base64 da URL do repositório. Um invasor local com acesso de gravação ao diretório temporário compartilhado do sistema pode prever esse caminho e colocar um link simbólico (symlink) nele. Quando o comando é executado, o Terragrunt segue o link simbólico, permitindo que o invasor cause a exclusão de um diretório e a reclonagem do conteúdo do repositório em um local arbitrário fora da raiz temporária pretendida. Este problema afeta usuários em servidores multiusuário ou executores de CI compartilhados onde usuários ou processos locais não confiáveis estão presentes.

Recommendations Atualize para a versão 1.1.1 do Terragrunt. Garanta que partes não confiáveis não possam controlar os valores das variáveis de ambiente TMPDIR, TMP e TEMP em ambientes onde o terragrunt catalog é executado.