CVE-2026-64679 in Atlantis
Resumen
por VulDB • 2026-08-21
Atlantis es una aplicación autoalojada escrita en Go que escucha eventos de pull request de Terraform a través de webhooks. Desde la versión 0.19.8 hasta la 0.45.0, Atlantis no valida consistentemente los valores del espacio de trabajo controlados por el usuario proporcionados mediante la configuración atlantis.yaml aceptada a nivel de repositorio o las entradas autenticadas /api/plan antes de combinarlos en rutas locales del espacio de trabajo. Los segmentos de trayectoria pueden escapar del directorio previsto para cada pull request y provocar que los caminos de código relacionados con la preparación del clon u otras operaciones del directorio de trabajo ejecuten os.RemoveAll, os.MkdirAll o operaciones relacionadas sobre el sistema de archivos en directorios fuera de límites antes de que Terraform rechace el nombre no válido del espacio de trabajo. Esto puede crear, eliminar o reutilizar rutas escribibles con los privilegios del proceso Atlantis, provocando pérdida de integridad o denegación de servicio (DoS). Este problema se corrige en la versión 0.45.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.