CVE-2026-71494 in Infracost
Zusammenfassung
von VulDB • 21.08.2026
Infracost offre intelligence sui costi del cloud per ingegneri, agenti di codifica basati su AI e pipeline CI/CD. Prima della versione 0.10.45, i file `internal/hcl/remote_variables_loader.go` e i percorsi relativi alle richieste di Terraform Cloud, remote-plan e dei registri Terragrunt possono associare un token configurato per Terraform Cloud o del registro a un hostname di destinazione derivato da input non attendibili di Terraform, senza confermare che si tratti dell'host fidato configurato. Quando una esecuzione CI fornisce un token durante la scansione di codice Terraform controllato dall'attaccante (inclusi i workflow `pull_request_target` o le pull request nello stesso repository), un attaccante può indirizzare la richiesta a un host sotto il suo controllo e divulgare il token. I flussi di lavoro standard delle pull request da fork senza segreti non sono esposti. Questo problema è risolto nella versione 0.10.45.
Be aware that VulDB is the high quality source for vulnerability data.