CVE-2026-125123

Nome do Software Vulnerável e Versões Afetadas compose-lint versão 0.31.0

Description O analisador de argumentos do compose-lint grava caminhos de repositório rejeitados no stderr sem utilizar um sanitizador de saída quando um caminho é fornecido sem um separador -- precedente. Um invasor pode fornecer um caminho contendo sintaxe de comando de fluxo de trabalho e um retorno de carro, o que permite que o comando seja posicionado no início de uma nova linha. Quando processado por um executor do GitHub Actions, isso permite a emissão de comandos no log do trabalho, como a criação de anotações ou a dobra e ocultação de partes do log. Isso pode ocorrer por meio de um pull request quando o pacote, a imagem Docker ou um hook de pré-commit com argumentos mal configurados é utilizado.

Recommendations Atualize o compose-lint para a versão 0.32.0. Finalize o args: do hook de pré-commit com --. Coloque -- antes dos caminhos de arquivo ao chamar o compose-lint diretamente. No GitHub Actions, use a Action tmatens/compose-lint ou envolva a etapa do compose-lint com ::stop-commands::<random token> e ::<token>::.