CVE-2026-76054

WysokieCVSS 7.1

Opublikowano: 24/08/2026(UTC)Przetłumaczono: 24/08/2026(UTC)NVD NIST

Streszczenie

Wywołanie procesu z użyciem widocznych wrażliwych informacji w Black Duck blackduck-c-cpp w wersjach od 1.0.17 do 3.0.6 pozwala osobie mogącej wykonać kod w skanowanym projekcie na uzyskanie tokena API Black Duck poprzez środowisko procesu, które jest dziedziczone przez podprocesy uruchamiane podczas przechwytywania budowania i skanowania podpisów. Dotyczy to tylko przypadków, gdy token jest dostarczany przez zmienne środowiskowe BLACKDUCK_API_TOKEN lub BD_HUB_TOKEN.

Ocena ryzyka

Ujawnienie tokena API może pozwolić atakującemu na nieautoryzowany dostęp do zasobów Black Duck, w tym do danych projektu i konfiguracji, co może prowadzić do naruszenia poufności i integralności.

Rekomendacja

Zaktualizuj blackduck-c-cpp do wersji 3.0.7 lub nowszej, a także zrotuj tokeny API, które były używane w zmiennych środowiskowych w dotkniętych wersjach.

Inne podatności w Black Duck blackduck-c-cpp

CVE-2026-76055Wysokie
Niewłaściwa neutralizacja specjalnych elementów w komendach systemu operacyjnego w komponencie menedżera pakietów Black Duck blackduck-c-cpp przed wersją 3.0.7 pozwala osobie mogącej utworzyć plik w skanowanym katalogu budowania na wykonanie komend systemu operacyjnego jako konto uruchamiające skan. Ścieżki plików napotkane podczas skanowania są interpolowane do komend wykonywanych przez powłokę bez odpowiedniego cytowania lub escapowania, co pozwala na interpretację metaznaków powłoki.

Oryginalny opis (angielski, źródło NVD)

Invocation of Process Using Visible Sensitive Information in Black Duck blackduck-c-cpp 1.0.17 through 3.0.6 allows an actor able to execute code within the scanned project's build to obtain the Black Duck API token via the ambient process environment, which is inherited by subprocesses launched during build capture and signature scanning. This applies only where the token is supplied through the BLACKDUCK_API_TOKEN or BD_HUB_TOKEN environment variable. Upgrading does not remediate prior disclosure; any token supplied to an affected version through an environment variable should be rotated.