CVE-2026-116086
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W konflux-ci wykryto lukę, która pozwala atakującemu z uprawnieniem do wyzwalania automatycznych przepływów pracy na ujawnienie informacji poprzez dostarczanie spreparowanych tytułów zgłoszeń do skryptów przepływu pracy. Skrypt włącza tytuły dostarczone przez użytkownika bezpośrednio do zapytań danych bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie złośliwych poleceń filtrujących. W rezultacie poufne informacje, takie jak poświadczenia API, klucze wdrożeniowe i notatki wewnętrzne, mogą zostać ujawnione w logach przepływu pracy.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych, takich jak poświadczenia API i klucze wdrożeniowe, co może prowadzić do dalszych ataków. Ujawnienie tych informacji w logach może być wykorzystane do eskalacji uprawnień.
Rekomendacja
Zaktualizuj konflux-ci do wersji zawierającej poprawkę. Ogranicz dostęp do logów przepływów pracy i regularnie przeglądaj je pod kątem wycieków danych.
Inne podatności w konflux-ci
Zobacz wszystkie- CVE-2026-116958Średnie
W konflux-ci wykryto podatność umożliwiającą wykonanie dowolnego kodu z powodu nieprawidłowego cytowania zmiennych powłoki w skryptach wdrożeniowych. Lokalny atakujący mogący dostarczyć argumenty do tych skryptów może wywołać nieoczekiwane podstawienie poleceń i wykonać polecenia z uprawnieniami runnera wdrożeniowego.
- CVE-2026-117681Wysokie
W konflux-ci wykryto lukę, która pozwala na eskalację uprawnień, gdy proxy interfejsu użytkownika automatycznie wyłącza weryfikację certyfikatów TLS dla połączeń z wewnętrznymi usługami backendu w środowiskach bez domyślnego urzędu certyfikacji usług. Proxy dołącza token uwierzytelniania o zasięgu klastra z uprawnieniami do personifikacji użytkownika, więc atakujący w sąsiedniej sieci może przechwycić poświadczenia i uzyskać pełną kontrolę administracyjną nad klastrem.
- CVE-2026-116964Wysokie
W konflux-ci wykryto lukę, która pozwala atakującemu z prawem zapisu do repozytorium na wykonanie dowolnego kodu w środowisku CI/CD. Poprzez wstrzyknięcie poleceń powłoki do skryptów eksportu środowiska atakujący powoduje, że skrypty synchronizacji manifestów dynamicznie oceniają niezweryfikowane dane wyjściowe. Udana eksploatacja pozwala na przejęcie potoków CI/CD, kradzież tokenów uwierzytelniania i poświadczeń wdrożeniowych oraz nieautoryzowany dostęp do systemów produkcyjnych.
- CVE-2026-114217Wysokie
W konflux-ci wykryto lukę, w której skrypty automatyzacji CI przechowują wrażliwe tokeny dostępu GitHub w postaci jawnej na runnerze bez ich czyszczenia po wykonaniu. Lokalny atakujący z dostępem do środowiska CI może odczytać te poświadczenia, aby uzyskać nieautoryzowany dostęp do repozytorium, potencjalnie modyfikując kod źródłowy lub artefakty wydania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in konflux-ci. An attacker with permission to trigger automated workflow runs can cause an information disclosure by providing crafted issue titles to workflow scripts. The affected script incorporates user-provided titles directly into data queries without adequate sanitization, allowing the attacker to inject malicious filter commands. As a result, sensitive information such as API credentials, deployment keys, and internal notes returned from repository queries may be exposed in workflow logs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS