CVE-2025-27616 in server
Résumé
par VulDB • 26/05/2026
Vela est un framework d'automatisation des pipelines (CI/CD) basé sur la technologie des conteneurs Linux et écrit en Golang. Avant les versions 0.25.3 et 0.26.3, en usurpant un payload de webhook avec un ensemble spécifique d'en-têtes et de données de corps, un attaquant pouvait transférer la propriété d'un dépôt ainsi que ses secrets au niveau du dépôt vers un autre dépôt. Ces secrets pouvaient être exfiltrés par des builds ultérieurs vers le dépôt. Les utilisateurs disposant d'un dépôt activé avec accès aux secrets CI au niveau du dépôt dans Vela sont vulnérables à l'exploitation, et tout utilisateur ayant accès à l'instance CI et au gestionnaire de contrôle de source lié peut effectuer l'exploitation. Les versions 0.25.3 et 0.26.3 corrigent le problème. Aucune solution de contournement connue n'est disponible.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.