CVE-2026-102649

Nome do Software Vulnerável e Versões Afetadas Burrito versões anteriores a 0.13.0

Descrição O endpoint POST /api/webhook aceita eventos não assinados do GitHub e GitLab se a configuração de um TerraformRepository omitir o webhookSecret ou defini-lo como um valor vazio. Isso ocorre porque a biblioteca go-playground/webhooks ignora a verificação de assinatura ou token quando o segredo está vazio. Um invasor que consiga acessar o endpoint do burrito-server e conheça a URL de um repositório monitorado pode forjar eventos para criar ou excluir recursos personalizados TerraformPullRequest manipulando as variáveis Branch, Base e ID. Para eventos pull request do GitHub, o controlador não verifica se o branch do payload corresponde ao número real do pull request. Isso permite a execução de um terraform plan não autorizado usando credenciais de git e nuvem armazenadas, ao associar um número de pull request real a um branch não relacionado. Consequentemente, o plano resultante pode ser postado na thread de comentários do pull request legítimo, expondo alterações de infraestrutura de outro branch. Embora o auto-apply esteja desativado para essas camadas, a execução de código durante a fase de plano depende do conteúdo do branch selecionado.

Recomendações Atualize para a versão 0.13.0. Garanta que o webhookSecret esteja configurado e não seja deixado vazio para todas as credenciais de TerraformRepository para habilitar a verificação de assinatura.