CVE-2026-123368

Nome do Software Vulnerável e Versões Afetadas compose-lint versões 0.22.0 até 0.30.0

Description O software falha ao aplicar verificações de contenção ao seguir links simbólicos .env irmãos fora do projeto e, a partir da versão 0.28.0, isso também afeta links project directory usados em inclusões. Um invasor pode referenciar uma variável desses arquivos vinculados por meio de um pull request, levando à substituição de dados do arquivo do executor ou do ambiente do processo em logs, artefatos JSON, SARIF e alertas de Code Scanning. Especificamente, a leitura de /proc/self/environ pode expor o ambiente do processo do linter porque entradas separadas por NUL são tratadas como um único valor.

Recommendations Atualize para a versão 0.31.0.