CVE-2026-3515
WysokieStreszczenie
Podatność w bloku `GitHubRepository` integracji `prefect-github` w wersji Prefect 3.6.18 pozwala atakującemu na wstrzykiwanie dowolnych opcji linii poleceń git poprzez pole `reference`. To prowadzi do potencjalnych ataków typu Server-Side Request Forgery (SSRF), kradzieży poświadczeń lub zdalnego wykonania kodu (RCE).
Ocena ryzyka
Organizacje mogą być narażone na poważne zagrożenia, takie jak kradzież danych lub zdalne wykonanie kodu, co może prowadzić do utraty poufności i integralności systemów.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Prefect, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów sanitizacji danych wejściowych w integracjach z systemami zewnętrznymi.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the `GitHubRepository` block of the `prefect-github` integration in Prefect version 3.6.18 allows an attacker to inject arbitrary git command-line options via the `reference` field. The `reference` field is concatenated directly into a `git clone` command string without proper sanitization, and then parsed by `shlex.split()`. This enables injection of options such as `-c`, leading to potential Server-Side Request Forgery (SSRF), credential theft, or remote code execution (RCE). The vulnerability affects both the `aget_directory()` and `get_directory()` methods in `src/integrations/prefect-github/prefect_github/repository.py`. This issue does not affect the GitLab and BitBucket integrations, which use a safer list-based command construction approach.