CVE-2026-71494 in Infracost
Resumen
por VulDB • 2026-08-21
Infracost proporciona inteligencia sobre los costos de la nube para ingenieros, agentes de codificación basados en IA y CI/CD. Antes de la versión 0.10.45, internal/hcl/remote_variables_loader.go y las rutas relacionadas con Terraform Cloud, remote-plan y Terragrunt registry pueden adjuntar un token configurado de Terraform Cloud o del registro a un nombre de host de destino derivado de una entrada no confiable de Terraform sin confirmar que se trata del host de confianza configurado. Cuando una ejecución en CI proporciona un token mientras escanea Terraform controlado por el atacante, incluyendo pull_request_target o una solicitud de extracción (pull request) dentro del mismo repositorio, un atacante puede dirigir la solicitud a un host controlado por él y revelar el token. Los flujos de trabajo estándar de pull_request con forks que no utilizan secretos no están expuestos. Este problema se soluciona en la versión 0.10.45.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.