CVE-2026-12171

auto-changelog przed wersją 2.6.1 łączy konfigurację z repozytorium docelowego (plik .auto-changelog i klucz auto-changelog w package.json) ze swoimi opcjami i honoruje opcje wrażliwe na bezpieczeństwo z niezaufanego źródła. Opcja handlebarsSetup jest przekazywana do require(), więc uruchomienie automatycznego dziennika zmian w zawartości repozytorium kontrolowanej przez osobę atakującą (na przykład w przepływie pracy CI, który sprawdza niezaufany nagłówek żądania ściągnięcia lub lokalnie w rozwidlonym repozytorium lub repozytorium strony trzeciej) powoduje wykonanie kodu wybranego przez atakującego z uprawnieniami wywołującego użytkownika lub zadania CI, w tym dostępem do tajnych przepływów pracy, bez konieczności instalowania zależności repozytorium. Opcja wtyczek w podobny sposób ładuje moduły kontrolowane przez atakującego z repozytorium. Na tych samych warunkach appendGitLog/appendGitTag zezwala na wstrzykiwanie argumentów git (np. --output= do zapisywania dowolnych plików), dane wyjściowe umożliwiają zapisywanie treści, na które atakujący ma wpływ, do dowolnych ścieżek, a szablon powoduje żądanie wychodzące do adresu URL wybranego przez atakującego. Wersja 2.6.1 traktuje konfigurację w repozytorium jako niezaufaną i odmawia uruchomienia po ustawieniu tych opcji, chyba że zostanie przekazana nowa flaga --unsafe-config.