CVE-2026-102649

Burrito jest operatorem Kubernetes w oprogramowaniu Terraform Automation Collaboration Software (TACoS). W wersjach wcześniejszych niż 0.13.0 polecenie `POST /api/webhook` akceptuje niepodpisane zdarzenia GitHub i GitLab, gdy referencje `TerraformRepository' pomijają `webhookSecret` lub ustawiają je na pustą wartość, włączając poświadczenia skonfigurowane do uwierzytelniania git i odpytywania. Wartość „Credential.WebhookSecret” jest opcjonalna, a opcja „go-playground/webhooks” pomija weryfikację podpisu lub tokena, gdy klucz tajny jest pusty. Każdy, kto może dotrzeć do punktu końcowego „burrito-server” i zna adres URL śledzonego repozytorium, może sfałszować zdarzenia w celu utworzenia lub usunięcia niestandardowych zasobów „TerraformPullRequest” z wybranymi przez atakującego polami „Branch”, „Base” i „ID”. W przypadku zdarzeń „pull_request” w GitHub kontroler pobiera zmienione pliki przy użyciu prawdziwego numeru żądania ściągnięcia, ale nie sprawdza gałęzi ładunku pod kątem tego żądania ściągnięcia. Parowanie prawdziwego, istniejącego numeru żądania ściągnięcia z niepowiązaną istniejącą gałęzią w tym samym repozytorium może zatem spowodować nieautoryzowany „plan terraformowy” dla dotkniętych warstw przy użyciu przechowywanych danych uwierzytelniających git i chmury operatora. Analiza kodu wskazuje również, że powstały plan można opublikować w wątku komentarzy prawdziwego żądania ściągnięcia, ujawniając i błędnie przypisując zmiany w infrastrukturze innego oddziału. Automatyczne stosowanie jest wyłączone dla tych warstw tymczasowych, więc sama ta luka nie może wymusić ``zastosowania terraformowego''; wykonanie dostawcy planu w czasie i kodu źródła danych zależy od zawartości wybranej gałęzi. Ten problem został rozwiązany w wersji 0.13.0.