CVE-2026-54168
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Pipelines-as-Code to system CI/CD, który pozwala użytkownikom definiować potoki Tekton w repozytoriach kodu źródłowego. W wersjach wcześniejszych niż 0.37.8, 0.39.6, 0.42.1 i 0.48.0 token instalacji aplikacji GitHub utworzony podczas przetwarzania elementu webhook nie jest przypisany do repozytorium, które wyzwoliło zdarzenie, gdy aplikacja jest instalowana w wielu repozytoriach. Użytkownik z dostępem wypychanym do jednego repozytorium może przesłać PipelineRun zawierający adnotację o zdalnym zadaniu Pipelinesascode.tekton.dev/task, która dotyczy prywatnego repozytorium w tej samej instalacji. Gdy ScopeTokenToListOfRepos nie zwróci żadnego jawnego zakresu, brakujący wyzwalający identyfikator repozytorium umożliwi tokenowi dostęp do całej instalacji. Pipelines-as-Code rozwiązuje i wstawia zdalne zadanie prywatne za pomocą tego tokena, ujawniając definicje Tekton w repozytorium. Zademonstrowany wpływ jest tylko do odczytu i nie zapewnia dostępu do zapisu. Ten problem został rozwiązany w wersjach 0.37.8, 0.39.6, 0.42.1 i 0.48.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/tektoncd/pipelines-as-code/commit/001782829e82b83ecb3da903f5a024ca0826b64c
- https://github.com/tektoncd/pipelines-as-code/commit/40813976a77920feaf52671320d6d3c5ff08eb7e
- https://github.com/tektoncd/pipelines-as-code/commit/ac6fded6dfb69ade7197d4eeed6e90ddbe1b79bc
- https://github.com/tektoncd/pipelines-as-code/commit/e0c4a11ea3800ab9d26cf3a8ae92b74cf18527c3
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.37.8
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.39.6
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.42.1
- https://github.com/tektoncd/pipelines-as-code/releases/tag/v0.48.0
- https://github.com/tektoncd/pipelines-as-code/security/advisories/GHSA-6f2p-296r-cc28
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org