CVE-2026-71494

ŚrednieCVSS 5.9

Opublikowano: 21/08/2026(UTC)Zaktualizowano: 21/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Infracost przed wersją 0.10.45, wewnętrzne/hcl/remote_variables_loader.go i powiązane ścieżki żądań Terraform Cloud, remote-plan i Terragrunt registry mogą dołączyć skonfigurowany token Terraform Cloud lub registry do docelowej nazwy hosta pochodzącej z niezaufanego wejścia Terraform bez potwierdzenia, że jest to skonfigurowany zaufany host. Gdy przebieg CI dostarcza token podczas skanowania Terraform kontrolowanego przez atakującego, w tym pull_request_target lub pull request w tym samym repozytorium, atakujący może skierować żądanie do hosta kontrolowanego przez atakującego i ujawnić token. Standardowe przepływy pracy fork pull_request bez sekretów nie są narażone.

Ocena ryzyka

Ujawnienie tokenów Terraform Cloud lub registry może pozwolić atakującemu na nieautoryzowany dostęp do infrastruktury chmurowej.

Rekomendacja

Zaleca się aktualizację Infracost do wersji 0.10.45 lub nowszej, która zawiera poprawkę.

Inne podatności w Infracost

CVE-2026-71493Średnie
Przed wersją 0.10.45 narzędzie Infracost zawierało podatność polegającą na tym, że funkcje szablonów readFile, pathExists, isDir i matchPaths nie rozwiązywały dowiązań symbolicznych w pośrednich katalogach. Repozytorium mogło zawierać ścieżkę taką jak evil/file, gdzie evil wskazuje poza obszar roboczy, co powodowało odczyt plików dostępnych dla procesu uruchamiającego. Treść tych plików mogła zostać wyrenderowana do wygenerowanej konfiguracji i ujawniona przez dashboard Infracost lub komentarz w pull requeście, co ma większy wpływ w środowiskach, gdzie udostępniane są sekrety repozytorium.

Oryginalny opis (angielski, źródło NVD)

Infracost provides cloud cost intelligence for engineers, AI coding agents, and CI/CD. Prior to 0.10.45, internal/hcl/remote_variables_loader.go and related Terraform Cloud, remote-plan, and Terragrunt registry request paths can attach a configured Terraform Cloud or registry token to a destination hostname derived from untrusted Terraform input without confirming that it is the configured trusted host. When a CI run provides a token while scanning attacker-controlled Terraform, including pull_request_target or a same-repository pull request, an attacker can direct the request to an attacker-controlled host and disclose the token. Standard fork pull_request workflows without secrets are not exposed. This issue is fixed in version 0.10.45.