CVE-2026-54168 in Pipelines-as-Code
요약
\~에 의해 VulDB • 2026. 09. 15.
Pipelines-as-Code는 사용자가 소스 코드 저장소에서 Tekton 파이프라인을 정의할 수 있는 CI/CD 시스템입니다. 버전 0.37.8, 0.39.6, 0.42.1 및 0.48.0 이전에서는 웹훅 처리 중에 생성된 GitHub App 설치 토큰이 앱이 여러 저장소에 걸쳐 설치되어 있는 경우 이벤트를 트리거한 저장소로 범위가 제한되지 않습니다. 하나의 저장소에 푸시 권한을 가진 사용자는 동일한 설치 내의 개인용 저장소를 대상으로 하는 pipelinesascode.tekton.dev/task 원격 작업 주석이 포함된 PipelineRun을 제출할 수 있습니다. ScopeTokenToListOfRepos가 명시적인 범위를 반환하지 않을 경우, 누락된 트리거링 저장소 ID로 인해 토큰이 전체 설치를 접근할 수 있게 됩니다. Pipelines-as-Code는 해당 토큰으로 원격 개인용 작업을 해결하고 인라인 처리하여 저장소의 Tekton 정의를 노출시킵니다. 시연된 영향은 읽기 전용이며 쓰기 권한을 제공하지 않습니다. 이 문제는 버전 0.37.8, 0.39.6, 0.42.1 및 0.48.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.