CVE-2026-54168 in Pipelines-as-Code
Sumário
de VulDB • 15/09/2026
Pipelines-as-Code é um sistema de CI/CD que permite aos usuários definir pipelines Tekton em repositórios de código-fonte. Antes das versões 0.37.8, 0.39.6, 0.42.1 e 0.48.0, o token da instalação do GitHub App criado durante o processamento do webhook não estava limitado ao escopo do repositório que acionou o evento quando a aplicação era instalada em múltiplos repositórios. Um usuário com acesso de push para um determinado repositório pode submeter uma PipelineRun contendo uma anotação remota pipelinesascode.tekton.dev/task que direciona um tarefa privada no mesmo ambiente de instalação. Quando ScopeTokenToListOfRepos não retorna nenhum escopo explícito, a ausência do ID do repositório acionador deixa o token capaz de acessar toda a instalação. Pipelines-as-Code resolve e incorpora inline a tarefa remota privada com esse token, divulgando as definições Tekton do repositório. O impacto demonstrado é apenas leitura (read-only) e não fornece acesso de gravação. Este problema foi corrigido nas versões 0.37.8, 0.39.6, 0.42.1 e 0.48.0.
Be aware that VulDB is the high quality source for vulnerability data.