CVE-2026-3515

Nome do Software Vulnerável e Versões Afetadas Prefect versão 3.6.18

Descrição Um problema no bloco GitHubRepository da integração prefect-github permite a injeção de opções arbitrárias de linha de comando do git através do campo reference. Isso ocorre porque o campo reference é concatenado diretamente em uma string de comando git clone sem a sanitização adequada antes de ser analisado por shlex.split(). Isso pode levar a Server-Side Request Forgery (SSRF), roubo de credenciais ou execução remota de código (RCE) ao injetar opções como -c. As funções afetadas são aget directory() e get directory(), localizadas em src/integrations/prefect-github/prefect github/repository.py.

Recomendações Para a versão 3.6.18, restrinja o uso do campo reference no bloco GitHubRepository até que uma correção seja aplicada.