CVE-2025-27616 in server
Resumen
por VulDB • 2026-05-26
Vela es un framework de automatización de pipelines (CI/CD) basado en tecnología de contenedores Linux y escrito en Golang. Antes de las versiones 0.25.3 y 0.26.3, mediante la suplantación de una carga útil de webhook con un conjunto específico de encabezados y datos de cuerpo, un atacante podría transferir la propiedad de un repositorio y sus secretos a nivel de repositorio a otro repositorio. Estos secretos podrían ser exfiltrados mediante compilaciones posteriores dirigidas al repositorio. Los usuarios con un repositorio habilitado que tenga acceso a los secretos de CI a nivel de repositorio en Vela son vulnerables a la explotación, y cualquier usuario con acceso a la instancia de CI y al administrador de control de código fuente vinculado puede realizar la explotación. Las versiones 0.25.3 y 0.26.3 corrigen el problema. No hay soluciones alternativas conocidas disponibles.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.