CVE-2026-54168

ŚrednieCVSS 6.5

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.59%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

W Pipelines-as-Code przed wersjami 0.37.8, 0.39.6, 0.42.1 i 0.48.0 token instalacji GitHub App utworzony podczas przetwarzania webhooka nie jest ograniczony do repozytorium, które wywołało zdarzenie, gdy aplikacja jest zainstalowana w wielu repozytoriach. Użytkownik z prawem push do jednego repozytorium może przesłać PipelineRun z adnotacją zdalnego zadania wskazującą prywatne repozytorium w tej samej instalacji, co prowadzi do ujawnienia definicji Tekton tego repozytorium.

Ocena ryzyka

Może dojść do ujawnienia definicji Tekton prywatnego repozytorium. Wpływ jest ograniczony do odczytu i nie zapewnia dostępu zapisu.

Rekomendacja

Zaktualizuj Pipelines-as-Code do wersji 0.37.8, 0.39.6, 0.42.1 lub 0.48.0, w których problem został naprawiony.

Inne podatności w Pipelines-as-Code

CVE-2026-54167Wysokie
Podatność w Pipelines-as-Code przed wersjami 0.37.8, 0.39.6, 0.42.1 i 0.48.0. Dostawca GitHub App akceptuje nagłówek X-GitHub-Enterprise-Host jako host API podczas przetwarzania zdarzeń webhook, zanim nastąpi weryfikacja podpisu lub potwierdzenie dopasowania hosta do adresu URL repozytorium w podpisanym ładunku. Nieuwierzytelniony atakujący, który może dotrzeć do punktu końcowego webhook, może wybrać host kontrolowany przez atakującego i spowodować wysłanie lokalnie podpisanego JWT GitHub App do tego serwisu.

Oryginalny opis (angielski, źródło NVD)

Pipelines-as-Code is a CI/CD system that lets users define Tekton pipelines in source code repositories. Prior to 0.37.8, 0.39.6, 0.42.1, and 0.48.0, a GitHub App installation token created during webhook processing is not scoped to the repository that triggered the event when the App is installed across multiple repositories. A user with push access to one repository can submit a PipelineRun containing a pipelinesascode.tekton.dev/task remote task annotation that targets a private repository in the same installation. When ScopeTokenToListOfRepos returns no explicit scope, the missing triggering repository ID leaves the token able to access the entire installation. Pipelines-as-Code resolves and inlines the remote private task with that token, disclosing the repository's Tekton definitions. The demonstrated impact is read-only and does not provide write access. This issue is fixed in versions 0.37.8, 0.39.6, 0.42.1, and 0.48.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS