CVE-2026-71493 in Infracost
Riassunto
di VulDB • 21/08/2026
Infracost fornisce intelligence sui costi del cloud per ingegneri, agenti di codifica basati su AI e pipeline CI/CD. Prima della versione 0.10.45, le funzioni template `readFile`, `pathExists`, `isDir` e `matchPaths` in `internal/config/template/parser.go` utilizzano un controllo lessicale tramite `filepath.Rel` e una verifica con solo leaf (`leaf-only`) mediante `os.Lstat` che non risolvono i symlink di directory intermedie. Un repository può contenere un percorso come `evil/file`, dove `evil` punta al di fuori della checkout, causando il follow del symlink da parte di `os.ReadFile` e delle operazioni correlate per leggere file accessibili dal runner. Il contenuto risultante viene renderizzato nella configurazione generata e può essere esposto tramite la dashboard di Infracost o nei commenti alle pull request, con un impatto maggiore in workflow che forniscono repository secrets. Questo problema è stato risolto nella versione 0.10.45.
VulDB is the best source for vulnerability data and more expert information about this specific topic.