CVE-2026-71493

ŚrednieCVSS 5.9

Opublikowano: 21/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Przed wersją 0.10.45 narzędzie Infracost zawierało podatność polegającą na tym, że funkcje szablonów readFile, pathExists, isDir i matchPaths nie rozwiązywały dowiązań symbolicznych w pośrednich katalogach. Repozytorium mogło zawierać ścieżkę taką jak evil/file, gdzie evil wskazuje poza obszar roboczy, co powodowało odczyt plików dostępnych dla procesu uruchamiającego. Treść tych plików mogła zostać wyrenderowana do wygenerowanej konfiguracji i ujawniona przez dashboard Infracost lub komentarz w pull requeście, co ma większy wpływ w środowiskach, gdzie udostępniane są sekrety repozytorium.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych plików dostępnych dla procesu uruchamiającego Infracost, w tym potencjalnie sekretów repozytorium, co może prowadzić do naruszenia poufności danych i eskalacji uprawnień.

Rekomendacja

Zaleca się natychmiastową aktualizację Infracost do wersji 0.10.45 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w Infracost

CVE-2026-71494Średnie
Infracost przed wersją 0.10.45, wewnętrzne/hcl/remote_variables_loader.go i powiązane ścieżki żądań Terraform Cloud, remote-plan i Terragrunt registry mogą dołączyć skonfigurowany token Terraform Cloud lub registry do docelowej nazwy hosta pochodzącej z niezaufanego wejścia Terraform bez potwierdzenia, że jest to skonfigurowany zaufany host. Gdy przebieg CI dostarcza token podczas skanowania Terraform kontrolowanego przez atakującego, w tym pull_request_target lub pull request w tym samym repozytorium, atakujący może skierować żądanie do hosta kontrolowanego przez atakującego i ujawnić token. Standardowe przepływy pracy fork pull_request bez sekretów nie są narażone.

Oryginalny opis (angielski, źródło NVD)

Infracost provides cloud cost intelligence for engineers, AI coding agents, and CI/CD. Prior to 0.10.45, the readFile, pathExists, isDir, and matchPaths template functions in internal/config/template/parser.go use a lexical filepath.Rel check and a leaf-only os.Lstat check that do not resolve an intermediate directory symlink. A repository can contain a path such as evil/file where evil points outside the checkout, causing os.ReadFile and related operations to follow the symlink and read runner-accessible files. The resulting content is rendered into generated configuration and can be surfaced through the Infracost dashboard or pull request comment, with greater impact in workflows that provide repository secrets. This issue is fixed in version 0.10.45.