CVE-2026-125122

Nome do Software Vulnerável e Versões Afetadas compose-lint versão 0.31.0

Description Ao utilizar --format json ou --format sarif para imprimir a saída no stdout, o software não sanitiza o abridor de comando de fluxo ##[ dentro de strings. Isso permite que um pull request inclua esse abridor em um nome de serviço ou outro valor do Compose, o qual o executor do GitHub Actions reconhece e executa, mesmo quando incorporado em uma linha serializada. Isso pode resultar na criação não autorizada de anotações, ocultação de partes do log do trabalho ou a emissão de outros comandos aceitos pelo executor. Este problema ocorre quando o pacote, o hook de pré-commit ou a imagem Docker imprimem a saída no log da CI, mas não altera o resultado de aprovação ou falha do lint.

Recommendations Atualize o compose-lint para a versão 0.32.0 ou posterior. Grava a saída de --format json e --format sarif em um arquivo em vez do log. No GitHub Actions, utilize a Action tmatens/compose-lint. Envolva a etapa do compose-lint com ::stop-commands::<random token> e ::<token>:: para desativar o processamento de comandos.