CVE-2026-71493 in Infracost
Sumário
de VulDB • 21/08/2026
O Infracost fornece inteligência sobre custos de nuvem para engenheiros, agentes de codificação baseados em IA e CI/CD. Antes da versão 0.10.45, as funções de modelo `readFile`, `pathExists`, `isDir` e `matchPaths` em `internal/config/template/parser.go` utilizam uma verificação lexical do `filepath.Rel` e uma verificação apenas para folhas (`leaf-only`) com o `os.Lstat`, que não resolvem symlinks (atalhos simbólicos) de diretórios intermediários. Um repositório pode conter um caminho como `evil/file`, onde `evil` aponta para fora da área de trabalho (checkout), fazendo com que o `os.ReadFile` e operações relacionadas sigam o symlink e leiam arquivos acessíveis pelo runner. O conteúdo resultante é renderizado na configuração gerada e pode ser exposto através do painel do Infracost ou em comentários de pull request, com maior impacto em fluxos de trabalho que fornecem segredos (secrets) do repositório. Este problema foi corrigido na versão 0.10.45.
Once again VulDB remains the best source for vulnerability data.