CVE-2026-71493 in Infracost
요약
\~에 의해 VulDB • 2026. 08. 21.
Infracost는 엔지니어, AI 코딩 에이전트 및 CI/CD를 위한 클라우드 비용 인텔리전스를 제공합니다. 버전 0.10.45 이전의 internal/config/template/parser.go에 있는 readFile, pathExists, isDir 및 matchPaths 템플릿 함수는 중간 디렉토리 심볼릭 링크를 해결하지 않는 lexical filepath.Rel 확인과 leaf-only os.Lstat 검사를 사용합니다. 저장소에는 checkout 외부를 가리키는 evil이 포함된 evil/file와 같은 경로가 포함될 수 있으며, 이로 인해 os.ReadFile 및 관련 작업이 심볼릭 링크를 따라 실행기(runner)에서 접근 가능한 파일을 읽을 수 있습니다. 생성된 구성 파일에 렌더링되는 결과 콘텐츠는 Infracost 대시보드나 풀 리퀘스트 코멘트를 통해 노출될 수 있으며, 저장소 시크릿(repository secrets)을 제공하는 워크플로우에서는 더 큰 영향을 미칩니다. 이 문제는 버전 0.10.45에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.