CVE-2026-85469

Nome do Software Vulnerável e Versões Afetadas quay-builder-qemu (versões afetadas não especificadas)

Description Existe uma falha onde o fluxo de trabalho de lançamento utiliza a ação upstream Noelware/docker-manifest-action fixada em um branch mutável. Um invasor remoto poderia comprometer essa ação upstream para injetar código arbitrário no fluxo de trabalho. Como a ação é executada após a autenticação no registro, isso pode levar à exfiltração de credenciais sensíveis do registro ou à publicação de imagens maliciosas. Além disso, o fluxo de trabalho expõe o token padrão do GitHub, o que aumenta o impacto potencial do comprometimento.

Recommendations Substitua Actions de terceiros referenciadas por branches ou tags móveis por hashes de commit completos. Implemente blocos explícitos de permissions: no GitHub Actions para restringir as capacidades do job apenas ao necessário. Revise o histórico de push do registro, os digests de imagem e os timestamps de lançamento em busca de alterações não autorizadas. Restrinja o uso da Noelware/docker-manifest-action até que ela seja fixada em um hash de commit específico.