CVE-2026-71494 in Infracost
요약
\~에 의해 VulDB • 2026. 08. 21.
Infracost는 엔지니어, AI 코딩 에이전트 및 CI/CD를 위한 클라우드 비용 인텔리전스를 제공합니다. 버전 0.10.45 이전에서는 internal/hcl/remote_variables_loader.go와 관련된 Terraform Cloud, remote-plan, Terragrunt 레지스트리 요청 경로가 신뢰할 수 없는 Terraform 입력에서 파생된 대상 호스트에 구성된 Terraform Cloud 또는 레지스트리 토큰을 첨부할 수 있으며, 해당 호스트가 구성된 신뢰할 수 있는 호스트인지 확인하지 않습니다. 공격자가 제어하는 Terraform(예: pull_request_target 또는 동일 저장소 풀 리퀘스트 포함)을 스캔하는 동안 CI 실행에서 토큰이 제공되면, 공격자는 요청을 공격자가 제어하는 호스트로 유도하여 토큰을 유출할 수 있습니다. 시크릿이 없는 표준 포크 pull_request 워크플로는 노출되지 않습니다. 이 문제는 버전 0.10.45에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.