CVE-2026-123371

Nome do Software Vulnerável e Versões Afetadas compose-lint versões 0.2.0 até 0.31.0

Descrição O software segue automaticamente links simbólicos para o arquivo de política .compose-lint.yml localizado fora do projeto. Se o arquivo externo falhar na análise de YAML, o sistema inclui parte da linha de destino na saída de erro. Um invasor pode usar um pull request para apontar o arquivo de política para um arquivo de credenciais do executor, potencialmente expondo aproximadamente 30 caracteres do conteúdo do arquivo no erro padrão, erros JSON e notificações de execução da ferramenta SARIF enviadas pelo GitHub Action. Embora o processo termine com um erro e a linha específica não possa ser selecionada com precisão, dados sensíveis podem ser revelados por meio de logs públicos ou saída de Code Scanning.

Recomendações Atualizar para a versão 0.32.0.