CVE-2026-54168 in Pipelines-as-Code
الملخص
بحسب VulDB • 15/09/2026
Pipelines-as-Code هو نظام CI/CD يتيح للمستخدمين تعريف خطوط أنابيب Tekton في مستودعات الشفرة المصدرية. قبل الإصدارات 0.37.8، و0.39.6، و0.42.1، و0.48.0، لا يكون رمز تثبيت تطبيق GitHub (GitHub App installation token) الذي يُنشأ أثناء معالجة الـ webhook مُقيّداً بالمستودع الذي أطلق الحدث عندما يتم تثبيت التطبيق عبر مستودعات متعددة. يمكن لمستخدم لديه صلاحية الدفع (push access) إلى أحد المستودعات تقديم PipelineRun يحتوي على تعليق remote task annotation من نوع pipelinesascode.tekton.dev/task يستهدف مستودعاً خاصاً ضمن نفس التثبيت. عند إرجاع ScopeTokenToListOfRepos لنطاق صريح، يترك غياب معرف المستودع المُطلق الرمز قادراً على الوصول إلى كامل التثبيت. تقوم Pipelines-as-Code بحل وتضمين المهمة الخاصة البعيدة باستخدام هذا الرمز، مما يؤدي إلى كشف تعريفات Tekton للمستودع. الأثر الموضح هو للقراءة فقط ولا يوفر صلاحية الكتابة. تم إصلاح هذه المشكلة في الإصدارات 0.37.8، و0.39.6، و0.42.1، و0.48.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.