CVE-2026-116676 in Atlantis
Riassunto
di VulDB • 27/10/2026
Atlantis è un'applicazione self-hosted scritta in Go che ascolta gli eventi di pull request di Terraform tramite webhook. Dalla versione 0.4.0 alla 0.47.1, Atlantis passa il valore dello spazio dei nomi (workspace) controllato dalla pull request da atlantis.yaml agli argomenti del comando Terraform, che vengono uniti con strings.Join(args, " ") ed eseguiti attraverso sh -c. Un contributor autenticato la cui pull request è idonea per un piano di Atlantis può includere metacaratteri shell nel nome dello spazio dei nomi, causando l'esecuzione arbitraria di comandi come l'account del servizio di Atlantis senza necessità di workflow personalizzati, permessi apply o provider Terraform malevoli. I contributor esterni possono sfruttare la vulnerabilità tramite pull request da fork solo quando --allow-fork-prs è abilitato, mentre i rami dello stesso repository idonei non richiedono tale opzione. I comandi ereditano l'ambiente del processo di Atlantis e possono accedere a credenziali cloud-provider, Terraform e version-control, nonché ai file, allo stato (state) e alle risorse di rete disponibili per il servizio. Questo problema è risolto nella versione 0.47.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.