CVE-2026-54168 in Pipelines-as-Code
Zusammenfassung
von VulDB • 15.09.2026
Pipelines-as-Code ist ein CI/CD-System, das es Benutzern ermöglicht, Tekton-Pipelines in Quellcode-Repositories zu definieren. Vor den Versionen 0.37.8, 0.39.6, 0.42.1 und 0.48.0 war ein GitHub App Installation Token, der während der Webhook-Bearbeitung erstellt wurde, nicht auf das Repository beschränkt, welches das Ereignis ausgelöst hat, wenn die App in mehreren Repositories installiert ist. Ein Benutzer mit Push-Zugriff zu einem Repository kann einen PipelineRun einreichen, der eine pipelinesascode.tekton.dev/task Remote-Task-Anmerkung enthält, die ein privates Repository innerhalb derselben Installation anspricht. Wenn ScopeTokenToListOfRepos keinen expliziten Umfang zurückgibt, lässt das fehlende auslösende Repository-ID den Token in der Lage sein, auf die gesamte Installation zuzugreifen. Pipelines-as-Code löst und inlineisiert die Remote Private Task mit diesem Token, wodurch die Tekton-Definitionen des Repositories offengelegt werden. Die demonstrierte Auswirkung ist nur lesend und bietet keinen Schreibzugriff. Dieses Problem wurde in den Versionen 0.37.8, 0.39.6, 0.42.1 und 0.48.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.