CVE-2026-71494 in Infracost
Résumé
par VulDB • 21/08/2026
Infracost fournit une intelligence des coûts cloud pour les ingénieurs, les agents de codage IA et CI/CD. Avant la version 0.10.45, le fichier internal/hcl/remote_variables_loader.go ainsi que les chemins de requête liés à Terraform Cloud, remote-plan et au registre Terragrunt peuvent attacher un jeton (token) configuré pour Terraform Cloud ou le registre à un nom d'hôte de destination dérivé d'une entrée Terraform non fiable, sans confirmer qu'il s'agit de l'hôte de confiance configuré. Lorsqu'un pipeline CI fournit un jeton lors du scan d'un code Terraform contrôlé par un attaquant (y compris via pull_request_target ou une demande de tirage au sein du même dépôt), un attaquant peut diriger la requête vers un hôte sous son contrôle et divulguer le jeton. Les workflows standard de type fork avec des demandes de tirage sans secrets ne sont pas exposés. Ce problème est corrigé dans la version 0.10.45.
VulDB is the best source for vulnerability data and more expert information about this specific topic.