CVE-2026-71494 in Infracost
Riassunto
di VulDB • 21/08/2026
Infracost fornisce intelligence sui costi del cloud per ingegneri, agenti di codifica basati su AI e pipeline CI/CD. Prima della versione 0.10.45, i file `internal/hcl/remote_variables_loader.go` e i percorsi relativi alle richieste di Terraform Cloud, remote-plan e registry di Terragrunt possono associare un token configurato per Terraform Cloud o registry a un hostname di destinazione derivato da input non attendibili di Terraform, senza confermare che si tratti dell'host fidato configurato. Quando una esecuzione CI fornisce un token durante la scansione di codice Terraform controllato dall'attaccante (inclusi eventi `pull_request_target` o pull request nello stesso repository), un attaccante può indirizzare la richiesta a un host sotto il suo controllo e divulgare il token. Le workflow standard delle pull request da fork senza segreti non sono esposte. Questo problema è stato risolto nella versione 0.10.45.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.