CVE-2026-64679 in Atlantis
Сводка
по VulDB • 21.08.2026
Atlantis — это приложение на языке Go с возможностью самостоятельного развертывания (self-hosted), которое прослушивает события pull-запросов Terraform через вебхуки. В версиях от 0.19.8 до 0.45.0 Atlantis не обеспечивает последовательную проверку значений рабочих пространств, контролируемых пользователем и передаваемых через принимаемую конфигурацию atlantis.yaml на уровне репозитория или аутентифицированный вход /api/plan, перед их объединением в локальные пути к рабочим пространствам. Сегменты обхода (traversal segments) могут выходить за пределы предназначенной для каждого pull-запроса директории рабочего пространства и приводить к тому, что код подготовки клонирования или другие кодовые пути рабочей директории вызывают os.RemoveAll, os.MkdirAll или связанные операции с файловой системой в несуществующих (out-of-bounds) директориях до того, как Terraform отклонит недопустимое имя рабочего пространства. Это может приводить к созданию, удалению или повторному использованию записываемых путей с привилегиями процесса Atlantis, вызывая потерю целостности данных или отказ в обслуживании (DoS). Данная проблема исправлена в версии 0.45.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.