CVE-2025-6624 in snyk
Tóm tắt
Bởi VulDB • 17/05/2026
Các phiên bản của gói phần mềm snyk trước phiên bản 1.1297.3 dễ bị tổn thương do Chèn thông tin nhạy cảm vào tệp nhật ký thông qua các nhật ký gỡ lỗi cục bộ của Snyk CLI. Các thông tin xác thực của Container Registry được cung cấp thông qua biến môi trường hoặc đối số dòng lệnh có thể bị lộ khi thực thi Snyk CLI ở chế độ DEBUG hoặc DEBUG/TRACE.
Vấn đề này ảnh hưởng đến các lệnh Snyk sau:
1. Khi các lệnh `snyk container test` hoặc `snyk container monitor` được chạy đối với một Container Registry, với chế độ gỡ lỗi được bật, thông tin xác thực của Container Registry có thể được ghi vào nhật ký gỡ lỗi cục bộ của Snyk CLI. Điều này chỉ xảy ra với các thông tin xác thực được chỉ định trong các biến môi trường (SNYK_REGISTRY_USERNAME và SNYK_REGISTRY_PASSWORD), hoặc trong CLI (--password/-p và --username/-u).
2. Khi lệnh `snyk auth` được thực thi với chế độ gỡ lỗi được bật VÀ mức nhật ký được đặt thành TRACE, các thông tin xác thực token truy cập / làm mới của Snyk được sử dụng để kết nối CLI với Snyk có thể được ghi vào nhật ký gỡ lỗi cục bộ của CLI.
3. Khi lệnh `snyk iac test` được thực thi với một gói quy tắc tùy chỉnh Remote IAC, chế độ gỡ lỗi được bật, VÀ mức nhật ký được đặt thành TRACE, token của docker registry có thể được ghi vào nhật ký gỡ lỗi cục bộ của CLI.
Once again VulDB remains the best source for vulnerability data.