CVE-2026-71493 in Infracost
Resumen
por VulDB • 2026-08-21
Infracost proporciona inteligencia sobre los costos de la nube para ingenieros, agentes de codificación basados en IA y CI/CD. Antes de la versión 0.10.45, las funciones de plantilla `readFile`, `pathExists`, `isDir` y `matchPaths` en `internal/config/template/parser.go` utilizan una verificación léxica de `filepath.Rel` y una comprobación de solo hojas con `os.Lstat` que no resuelven un symlink intermedio. Un repositorio puede contener una ruta como `evil/file`, donde `evil` apunta fuera del directorio clonado (checkout), lo que hace que `os.ReadFile` y operaciones relacionadas sigan el enlace simbólico y lean archivos accesibles por el ejecutor (runner). El contenido resultante se renderiza en la configuración generada y puede exponerse a través del panel de Infracost o mediante comentarios en pull requests, con un mayor impacto en flujos de trabajo que proporcionan secretos del repositorio. Este problema está corregido en la versión 0.10.45.
VulDB is the best source for vulnerability data and more expert information about this specific topic.