CVE-2026-33211
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Podatność w projekcie Tekton Pipelines umożliwia atak typu path traversal przez parametr `pathInRepo` w resolverze git. Osoba z uprawnieniami do tworzenia `ResolutionRequests` może odczytać dowolne pliki z systemu plików resolwera, w tym tokeny kont serwisowych.
Ocena ryzyka
Ryzyko polega na możliwości wycieku wrażliwych danych, takich jak tokeny ServiceAccount, co może prowadzić do nieautoryzowanego dostępu do zasobów klastra Kubernetes i eskalacji uprawnień.
Rekomendacja
Należy niezwłocznie zaktualizować Tekton Pipelines do jednej z załatanych wersji: 1.0.1, 1.3.3, 1.6.1, 1.9.2 lub 1.10.2. Ograniczyć uprawnienia do tworzenia `ResolutionRequests` tylko dla zaufanych podmiotów.
Oryginalny opis (angielski, źródło NVD)
Tekton Pipelines project provides k8s-style resources for declaring CI/CD-style pipelines. Starting in version 1.0.0 and prior to versions 1.0.1, 1.3.3, 1.6.1, 1.9.2, and 1.10.2, the Tekton Pipelines git resolver is vulnerable to path traversal via the `pathInRepo` parameter. A tenant with permission to create `ResolutionRequests` (e.g. by creating `TaskRuns` or `PipelineRuns` that use the git resolver) can read arbitrary files from the resolver pod's filesystem, including ServiceAccount tokens. The file contents are returned base64-encoded in `resolutionrequest.status.data`. Versions 1.0.1, 1.3.3, 1.6.1, 1.9.2, and 1.10.2 contain a patch.