CVE-2026-54168 in Pipelines-as-Code
Resumen
por VulDB • 2026-09-15
Pipelines-as-Code es un sistema CI/CD que permite a los usuarios definir pipelines de Tekton en repositorios de código fuente. Antes de las versiones 0.37.8, 0.39.6, 0.42.1 y 0.48.0, el token de instalación de una GitHub App creado durante el procesamiento del webhook no está limitado al alcance (scoped) del repositorio que desencadenó el evento cuando la App está instalada en múltiples repositorios. Un usuario con acceso de escritura a un repositorio puede enviar un PipelineRun que contenga una anotación de tarea remota pipelinesascode.tekton.dev/task dirigida a un repositorio privado dentro de la misma instalación. Cuando ScopeTokenToListOfRepos no devuelve un alcance explícito, la falta del ID del repositorio desencadenante deja el token con capacidad para acceder a toda la instalación. Pipelines-as-Code resuelve y consolida (inlines) la tarea privada remota utilizando ese token, revelando las definiciones de Tekton del repositorio. El impacto demostrado es solo lectura y no proporciona acceso de escritura. Este problema está corregido en las versiones 0.37.8, 0.39.6, 0.42.1 y 0.48.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.