CVE-2026-58370

Nome do Software Vulnerável e Versões Afetadas Woodpecker versões anteriores a 3.15.0

Descrição Ao utilizar o driver de forja do GitLab, o sistema compara a lista de bypass ApprovalAllowedUsers com a variável pipeline.Author. A variável pipeline.Author é preenchida a partir do commit.author.name fornecido no payload do webhook, que é controlado pelo usuário e não verificado pelo GitLab. Um invasor capaz de abrir uma solicitação de merge (merge request) a partir de um fork pode falsificar o nome do autor do commit para corresponder a uma entrada em ApprovalAllowedUsers. Isso faz com que a função needsApproval() retorne falso, ignorando a barreira de segurança de aprovação de forks. Consequentemente, isso permite a execução de etapas de pipeline não autorizadas em um agente Woodpecker e a potencial exfiltração de segredos de CI expostos à execução.

Recomendações Atualize para a versão 3.15.0 ou posterior.