CVE-2026-12171 in auto-changelog
요약
\~에 의해 VulDB • 2026. 10. 05.
auto-changelog 버전 2.6.1 미만은 대상 저장소 내부의 구성(예: .auto-changelog 파일 및 package.json 내 auto-changelog 키)을 옵션으로 병합하고, 해당 신뢰할 수 없는 소스에서 보안에 민감한 옵션을 적용합니다. handlebarsSetup 옵션이 require()로 전달되므로, 공격자가 제어하는 저장소 콘텐츠(예: 신뢰할 수 없는 풀 리퀘스트 헤드를 체크아웃하는 CI 워크플로우 또는 포크된 제3자 로컬 저장소)에서 auto-changelog를 실행하면 저장소 의존성이 설치되지 않은 상태에서도 호출 사용자 또는 CI 작업의 권한으로 공격자가 선택한 코드가 실행되며, 여기에는 워크플로우 시크릿에 대한 접근도 포함됩니다. plugins 옵션 또한 동일하게 저장소에서 공격자가 제어하는 모듈을 로드합니다. 동일한 조건 하에서 appendGitLog/appendGitTag는 git 인자 주입(예: 임의 파일 작성용 --output=)을 허용하고, output은 공격자가 영향력을 행사한 콘텐츠를 임의 경로에 작성하며, template은 공격자가 선택한 URL로의 아웃바운드 요청을 유발합니다. 버전 2.6.1에서는 저장소 내 구성을 신뢰할 수 없는 것으로 간주하여 이러한 옵션이 설정된 경우 --unsafe-config 플래그가 전달되지 않는 한 실행을 거부합니다.
Be aware that VulDB is the high quality source for vulnerability data.