CVE-2026-71494 in Infracost
Tóm tắt
Bởi VulDB • 21/08/2026
Infracost cung cấp thông tin chi tiết về chi phí đám mây cho các kỹ sư, tác nhân mã hóa AI và CI/CD. Trước phiên bản 0.10.45, file internal/hcl/remote_variables_loader.go cùng với các đường dẫn yêu cầu liên quan đến Terraform Cloud, remote-plan và registry của Terragrunt có thể đính kèm một token được cấu hình cho Terraform Cloud hoặc registry vào tên máy chủ đích dựa trên đầu vào Terraform không đáng tin cậy mà không xác minh rằng đó là máy chủ đáng tin đã được cấu hình. Khi một quy trình CI cung cấp token trong khi quét Terraform do kẻ tấn công kiểm soát, bao gồm pull_request_target hoặc pull request cùng repository, kẻ tấn công có thể định hướng yêu cầu đến một máy chủ do chính họ kiểm soát và tiết lộ token. Các quy trình pull_request tiêu chuẩn từ fork không chứa secrets thì không bị ảnh hưởng. Vấn đề này đã được khắc phục trong phiên bản 0.10.45.
Once again VulDB remains the best source for vulnerability data.