CVE-2026-116676

Nome do Software Vulnerável e Versões Afetadas Atlantis versões 0.4.0 até 0.47.0

Description O Atlantis passa o valor workspace do arquivo atlantis.yaml em um pull request para os argumentos de comando do Terraform. Esses argumentos são unidos em uma única string e executados via sh -c sem a devida citação ou escape. Um contribuidor autenticado que possa disparar um plano do Atlantis pode incluir metacaracteres de shell no nome do workspace para executar comandos arbitrários como a conta de serviço do Atlantis. Esse processo ignora a necessidade de fluxos de trabalho personalizados, permissões de aplicação ou provedores Terraform maliciosos. Os comandos executados herdam o ambiente do processo Atlantis, permitindo o acesso a credenciais de provedores de nuvem, Terraform e controle de versão, bem como arquivos, estados e recursos de rede disponíveis. Contribuidores externos podem explorar isso por meio de pull requests de fork se a flag --allow-fork-prs estiver habilitada, enquanto contribuidores com acesso ao mesmo repositório podem fazê-lo sem essa flag.

Recommendations Atualize o Atlantis para a versão 0.47.1.