CVE-2026-125121

Nome do Software Vulnerável e Versões Afetadas compose-lint versões anteriores a 0.32.0

Description Existe um problema onde entradas não confiáveis podem ser interpretadas como comandos de fluxo de trabalho por runners de CI. Isso ocorre porque o software não escapa adequadamente os abridores de comando em vários cenários: espaços em branco Unicode precedendo :: não são escapados, formatos JSON e SARIF impressos no stdout não são sanitizados e certos erros de linha de comando imprimem argumentos brutos. Além disso, os comandos de log ##vso[ para Azure Pipelines não são escapados. Isso permite que um agente mal-intencionado crie anotações, oculte partes dos logs de trabalho ou emita outros comandos do runner por meio de valores de Compose, caminhos de repositório ou nomes de serviço manipulados. O problema afeta o pacote compose-lint, o hook de pré-commit e a imagem Docker quando executados diretamente no CI. A GitHub Action é afetada apenas quando o parâmetro sarif-file: aponta para um subdiretório que não pode ser criado.

Recommendations Atualize para a versão 0.32.0 ou posterior. No GitHub Actions, use a Action tmatens/compose-lint ou envolva a etapa com ::stop-commands::<random token> e ::<token>::. Na GitHub Action, mantenha o sarif-file na raiz do workspace (ex: sarif-file: results.sarif). Redirecione a saída de --format json e --format sarif para um arquivo em vez do log. Termine os args: do hook de pré-commit com -- e envolva a etapa com ::stop-commands:: no CI. No Azure Pipelines, evite imprimir a saída de execuções de pull requests não confiáveis no log do trabalho.