CVE-2026-33211
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność w resolverze git Tekton Pipelines umożliwia odczyt dowolnych plików z systemu plików resolwera poprzez parametr `pathInRepo`. Atakujący z uprawnieniami do tworzenia `ResolutionRequests` może uzyskać dostęp do tokenów kont serwisowych i innych poufnych danych.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych danych, w tym tokenów kont serwisowych, co może prowadzić do eskalacji uprawnień i nieautoryzowanego dostępu do zasobów klastra Kubernetes.
Rekomendacja
Należy niezwłocznie zaktualizować Tekton Pipelines do jednej z załatanych wersji: 1.0.1, 1.3.3, 1.6.1, 1.9.2 lub 1.10.2. Ograniczyć uprawnienia do tworzenia `ResolutionRequests` tylko dla zaufanych podmiotów.
Oryginalny opis (angielski, źródło NVD)
Tekton Pipelines project provides k8s-style resources for declaring CI/CD-style pipelines. Starting in version 1.0.0 and prior to versions 1.0.1, 1.3.3, 1.6.1, 1.9.2, and 1.10.2, the Tekton Pipelines git resolver is vulnerable to path traversal via the `pathInRepo` parameter. A tenant with permission to create `ResolutionRequests` (e.g. by creating `TaskRuns` or `PipelineRuns` that use the git resolver) can read arbitrary files from the resolver pod's filesystem, including ServiceAccount tokens. The file contents are returned base64-encoded in `resolutionrequest.status.data`. Versions 1.0.1, 1.3.3, 1.6.1, 1.9.2, and 1.10.2 contain a patch.