CVE-2026-123372

Nome do Software Vulnerável e Versões Afetadas compose-lint versões 0.22.0 até 0.31.0

Descrição O software substitui valores de um arquivo .env adjacente em campos de imagem e coloca o valor resolvido entre aspas nas mensagens de descoberta e texto de correção CL-0004 e CL-0019. Em fluxos de trabalho que gravam segredos nesse arquivo e analisam conteúdo de pull-requests não confiáveis, um invasor pode referenciar uma variável secreta para que seu valor completo seja exposto nos logs do trabalho, saída JSON, artefatos SARIF e alertas de Code Scanning. A exploração requer um fluxo de trabalho com segredos, como pull request target, branches do mesmo repositório ou um .env retido em um executor auto-hospedado.

Recomendações Atualize para a versão 0.32.0.