CVE-2026-54167

WysokieCVSS 8.2

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Podatność w Pipelines-as-Code przed wersjami 0.37.8, 0.39.6, 0.42.1 i 0.48.0. Dostawca GitHub App akceptuje nagłówek X-GitHub-Enterprise-Host jako host API podczas przetwarzania zdarzeń webhook, zanim nastąpi weryfikacja podpisu lub potwierdzenie dopasowania hosta do adresu URL repozytorium w podpisanym ładunku. Nieuwierzytelniony atakujący, który może dotrzeć do punktu końcowego webhook, może wybrać host kontrolowany przez atakującego i spowodować wysłanie lokalnie podpisanego JWT GitHub App do tego serwisu.

Ocena ryzyka

Ujawniony JWT może zostać wykorzystany do próby uzyskania tokenów dostępu instalacji w okresie jego ważności, co może prowadzić do nieautoryzowanego dostępu do repozytoriów i danych.

Rekomendacja

Zalecane jest zaktualizowanie Pipelines-as-Code do jednej z naprawionych wersji oraz ograniczenie dostępu do punktu końcowego webhook.

Inne podatności w Pipelines-as-Code

CVE-2026-54168Średnie
W Pipelines-as-Code przed wersjami 0.37.8, 0.39.6, 0.42.1 i 0.48.0 token instalacji GitHub App utworzony podczas przetwarzania webhooka nie jest ograniczony do repozytorium, które wywołało zdarzenie, gdy aplikacja jest zainstalowana w wielu repozytoriach. Użytkownik z prawem push do jednego repozytorium może przesłać PipelineRun z adnotacją zdalnego zadania wskazującą prywatne repozytorium w tej samej instalacji, co prowadzi do ujawnienia definicji Tekton tego repozytorium.

Oryginalny opis (angielski, źródło NVD)

Pipelines-as-Code is a CI/CD system that lets users define Tekton pipelines in source code repositories. Prior to 0.37.8, 0.39.6, 0.42.1, and 0.48.0, the GitHub App provider accepts X-GitHub-Enterprise-Host as the API host while processing webhook events containing an installation.id, before webhook signature validation or confirmation that the host matches the repository URL in the signed payload. An unauthenticated attacker who can reach the webhook endpoint can select an attacker-controlled host and cause the controller to send a locally signed GitHub App JWT to that service. The exposed JWT may be used to attempt to mint installation access tokens during its validity window, subject to the GitHub App installation and permissions. The incoming webhook installation-lookup path is also affected, but exploitation of that path requires the valid incoming webhook secret for the target Repository CR. This issue is fixed in versions 0.37.8, 0.39.6, 0.42.1, and 0.48.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS