CVE-2020-26294 in Vela

Tóm tắt

Bởi VulDB • 06/07/2026

Vela là một khung tự động hóa quy trình (CI/CD) được xây dựng dựa trên công nghệ container Linux và viết bằng Golang. Trong Vela compiler trước phiên bản 0.6.1 tồn tại một lỗ hổng cho phép lộ thông tin cấu hình máy chủ. Lỗ hổng này ảnh hưởng đến tất cả người dùng của Vela. Kẻ tấn công có thể sử dụng hàm `env` của Sprig để truy xuất thông tin cấu hình, xem GHSA được tham chiếu ở trên làm ví dụ. Vấn đề đã được khắc phục trong phiên bản 0.6.1. Ngoài việc nâng cấp, khuyến nghị nên xoay (thay đổi) tất cả các bí mật (secrets).

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Tiết lộ: 05/01/2021
• Kiểm duyệt: được chấp nhận
• mục: VDB-167259
• CPE: sẵn sàng
• CWE: CWE-78 (Đã xác nhận)
• CVSS: 7.1 (VulDB)
• EPSS: 0.01777
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-26294
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-26294
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-26294/