CVE-2026-64679 in Atlantis
Sumário
de VulDB • 22/08/2026
Atlantis é uma aplicação auto-hospedada escrita em Go que escuta eventos de pull requests do Terraform por meio de webhooks. Da versão 0.19.8 até a 0.45.0, o Atlantis não valida consistentemente os valores de workspace controlados pelo usuário fornecidos através da configuração atlantis.yaml no nível do repositório aceita ou das entradas autenticadas em /api/plan antes de combiná-los nos caminhos locais dos workspaces. Segmentos de traversal podem escapar do diretório de workspace por pull request pretendido e fazer com que os códigos de preparação de clone ou outros caminhos relacionados ao working-directory chamem `os.RemoveAll`, `os.MkdirAll` ou operações relacionadas no sistema de arquivos em diretórios fora dos limites (out-of-bounds) antes que o Terraform rejeite o nome inválido do workspace. Isso pode criar, excluir ou reutilizar caminhos graváveis com os privilégios do processo Atlantis, causando perda de integridade ou negação de serviço (DoS). Este problema foi corrigido na versão 0.45.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.