CVE-2026-116676

Atlantis to hostowana samodzielnie aplikacja golang, która nasłuchuje zdarzeń żądania ściągnięcia Terraform za pośrednictwem webhooków. Od wersji 0.4.0 do 0.47.1 Atlantis przekazuje wartość obszaru roboczego kontrolowanego przez pull-request z atlantis.yaml do argumentów poleceń Terraform, które są połączone ciągami znaków.Join(args, " ") i wykonywane poprzez sh -c. Uwierzytelniony współtwórca, którego żądanie ściągnięcia kwalifikuje się do planu Atlantis, może dołączyć metaznaki powłoki do nazwy obszaru roboczego, powodując wykonanie dowolnych poleceń jako konto usługi Atlantis bez niestandardowych przepływów pracy, uprawnień do stosowania lub złośliwego dostawcy Terraform. Zewnętrzni współautorzy mogą dotrzeć do tej luki poprzez żądania rozwidlenia tylko wtedy, gdy włączona jest opcja --allow-fork-prs, podczas gdy kwalifikujące się gałęzie tego samego repozytorium nie wymagają tej opcji. Polecenia dziedziczą środowisko procesowe Atlantis i umożliwiają dostęp do danych uwierzytelniających dostawcy usług w chmurze, Terraform i kontroli wersji, a także plików, stanu i zasobów sieciowych dostępnych dla usługi. Ten problem został rozwiązany w wersji 0.47.1.