CVE-2026-54167
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Pipelines-as-Code to system CI/CD, który pozwala użytkownikom definiować potoki Tekton w repozytoriach kodu źródłowego. W wersjach wcześniejszych niż 0.37.8, 0.39.6, 0.42.1 i 0.48.0 dostawca aplikacji GitHub akceptuje X-GitHub-Enterprise-Host jako hosta interfejsu API podczas przetwarzania zdarzeń elementu webhook zawierającego identyfikator instalacji.id, przed sprawdzeniem podpisu elementu webhook lub potwierdzeniem, że host pasuje do adresu URL repozytorium w podpisanym ładunku. Nieuwierzytelniony atakujący, który może dotrzeć do punktu końcowego elementu webhook, może wybrać host kontrolowany przez osobę atakującą i spowodować, że kontroler wyśle lokalnie podpisany JWT aplikacji GitHub do tej usługi. Ujawniony token JWT może zostać użyty do próby wytworzenia tokenów dostępu do instalacji w okresie jego ważności, z zastrzeżeniem instalacji i uprawnień aplikacji GitHub. Ma to również wpływ na ścieżkę wyszukiwania instalacji i wyszukiwania przychodzącego webhooka, ale wykorzystanie tej ścieżki wymaga ważnego klucza tajnego przychodzącego webhooka dla docelowego repozytorium CR. Ten problem został rozwiązany w wersjach 0.37.8, 0.39.6, 0.42.1 i 0.48.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/tektoncd/pipelines-as-code/commit/402d5c7eeece881cb082ec68e9e8b61709e39ace
- https://github.com/tektoncd/pipelines-as-code/commit/40813976a77920feaf52671320d6d3c5ff08eb7e
- https://github.com/tektoncd/pipelines-as-code/commit/ac6fded6dfb69ade7197d4eeed6e90ddbe1b79bc
- https://github.com/tektoncd/pipelines-as-code/commit/e0c4a11ea3800ab9d26cf3a8ae92b74cf18527c3
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.37.8
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.39.6
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.42.1
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.48.0
- https://github.com/tektoncd/pipelines-as-code/security/advisories/GHSA-f5f4-3hh4-f54m
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org