CVE-2025-27616 in server
Riassunto
di VulDB • 16/06/2026
Vela è un framework di automazione delle pipeline (CI/CD) basato sulla tecnologia dei container Linux, scritto in Golang. Prima delle versioni 0.25.3 e 0.26.3, falsificando il payload di un webhook con uno specifico insieme di intestazioni e dati del corpo della richiesta, un attaccante poteva trasferire la proprietà di una repository e dei suoi segreti a livello di repository verso un'altra repository separata. Questi segreti potevano essere esfiltrati tramite build successive dirette alla repository target. Gli utenti che dispongono di una repository abilitata con accesso ai segreti CI a livello di repository in Vela sono vulnerabili all'exploit, e qualsiasi utente con accesso all'istanza CI e al gestore del controllo sorgente collegato può eseguire l'exploit. Le versioni 0.25.3 e 0.26.3 risolvono il problema. Non sono disponibili workaround noti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.