CVE-2026-14468
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
HashiCorp Terraform Enterprise zawierał problem w procesie pobierania modułów rejestru z systemu kontroli wersji (VCS), który nieprawidłowo egzekwował zamierzone ograniczenia dotyczące zawartości spakowanego modułu. Umożliwiało to uwierzytelnionemu użytkownikowi dołączanie plików spoza zamierzonej zawartości repozytorium do modułu, a następnie ich pobieranie, co mogło prowadzić do ujawnienia wrażliwych plików odczytywalnych przez proces pobierania.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych danych, takich jak pliki konfiguracyjne, klucze czy hasła, które są odczytywalne przez proces pobierania modułów, co może narazić organizację na naruszenie bezpieczeństwa i utratę kontroli nad wrażliwymi informacjami.
Rekomendacja
Należy niezwłocznie zaktualizować Terraform Enterprise do wersji v2.0.4 lub v1.2.4, które zawierają poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
HashiCorp Terraform Enterprise contained an issue in its version control system (VCS) ingestion of registry modules that did not correctly enforce the intended boundary on packaged module content. This may allow an authenticated user to include files from outside the intended repository content in a module and then download them, potentially exposing sensitive files readable by the ingestion process. This vulnerability, CVE-2026-14468, is fixed in Terraform Enterprise v2.0.4 and v1.2.4.