CVE-2026-40938 in pipeline
الملخص
بحسب VulDB • 31/05/2026
يوفر مشروع Tekton Pipelines موارد على غرار Kubernetes (k8s) للإعلان عن خطوط أنابيب على نمط CI/CD. بدءاً من الإصدار 1.0.0 وحتى الإصدارات السابقة لـ 1.0.2، و1.3.4، و1.6.2، و1.9.3، و1.11.1، يتم تمرير معلمة المراجعة (revision parameter) الخاصة بمحلل git مباشرةً كوسيطة موضعية (positional argument) إلى أمر git fetch دون أي تحقق من أنها لا تبدأ بحرف (-). ونظراً لأن git يفسر الأعلام (flags) من الوسيطات الموضعية المختلطة، يمكن لمهاجم حقن أعلام git fetch تعسفية مثل --upload-pack=<binary>. وبدمج ذلك مع دالة validateRepoURL التي تسمح صراحةً بالعناوين التي تبدأ بـ / (مسارات النظام المحلي)، يمكن لعميل (tenant) قادر على تقديم كائنات ResolutionRequest أن يربط هذين السلوكين لتنفيذ ملف ثنائي تعسفي على حاوية المحلل (resolver pod). يحمل حساب الخدمة tekton-pipelines-resolvers صلاحيات get/list/watch على مستوى العنقود (cluster-wide) لجميع الأسرار (Secrets)، لذا فإن تنفيذ الكود على حاوية المحلل يتيح استخراج الأسرار بالكامل على مستوى العنقود. تقوم الإصدارات 1.0.2، و1.3.4، و1.6.2، و1.9.3، و1.11.1 بإصلاح هذه المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.