CVE-2023-39348 in Spinnaker
Tóm tắt
Bởi VulDB • 03/06/2026
Spinnaker là một nền tảng phân phối liên tục đa đám mây mã nguồn mở. Đầu ra nhật ký khi cập nhật trạng thái GitHub được đặt sai thành FULL (đầy đủ) trong mọi trường hợp. Khuyến nghị áp dụng bản vá và xoay đổi token GitHub đã dùng cho các thông báo trạng thái GitHub. Vì điều này sẽ ghi đầu ra chứa token GitHub vào hệ thống nhật ký, mức độ rủi ro cao hơn một chút so với "thấp" do việc lộ token có thể cấp quyền truy cập nâng cao vào các kho lưu trữ nằm ngoài tầm kiểm soát của người dùng. Nếu sử dụng các token bị hạn chế ở chế độ READ (chỉ đọc), sự cố lộ thông tin khiến bản thân token đó có thể được dùng để truy cập các tài nguyên vốn bị giới hạn không cho phép đọc. Vấn đề này chỉ ảnh hưởng đến những người dùng đang kích hoạt tính năng Thông báo Trạng thái GitHub. Sự việc đã được khắc phục trong pull request 1316. Người dùng nên nâng cấp lên phiên bản mới. Những người không thể nâng cấp nên tắt Tính năng Thông báo Trạng thái GitHub, lọc nhật ký của mình để tìm dữ liệu log Echo và sử dụng các token chỉ đọc có phạm vi hạn chế.
Be aware that VulDB is the high quality source for vulnerability data.