CVE-2026-116958
ŚrednieCVSS 6.7Streszczenie
W konflux-ci wykryto podatność umożliwiającą wykonanie dowolnego kodu z powodu nieprawidłowego cytowania zmiennych powłoki w skryptach wdrożeniowych. Lokalny atakujący mogący dostarczyć argumenty do tych skryptów może wywołać nieoczekiwane podstawienie poleceń i wykonać polecenia z uprawnieniami runnera wdrożeniowego.
Ocena ryzyka
Atakujący z lokalnym dostępem może wykonać dowolne polecenia z uprawnieniami runnera wdrożeniowego, co może prowadzić do przejęcia systemu lub dalszej eskalacji uprawnień. Stanowi to poważne zagrożenie dla integralności środowiska CI/CD.
Rekomendacja
Zaktualizuj konflux-ci do wersji zawierającej poprawkę cytowania zmiennych w skryptach wdrożeniowych. Ogranicz możliwość dostarczania argumentów do skryptów wyłącznie zaufanym użytkownikom.
Inne podatności w konflux-ci
Zobacz wszystkie- CVE-2026-117681Wysokie
W konflux-ci wykryto lukę, która pozwala na eskalację uprawnień, gdy proxy interfejsu użytkownika automatycznie wyłącza weryfikację certyfikatów TLS dla połączeń z wewnętrznymi usługami backendu w środowiskach bez domyślnego urzędu certyfikacji usług. Proxy dołącza token uwierzytelniania o zasięgu klastra z uprawnieniami do personifikacji użytkownika, więc atakujący w sąsiedniej sieci może przechwycić poświadczenia i uzyskać pełną kontrolę administracyjną nad klastrem.
- CVE-2026-116964Wysokie
W konflux-ci wykryto lukę, która pozwala atakującemu z prawem zapisu do repozytorium na wykonanie dowolnego kodu w środowisku CI/CD. Poprzez wstrzyknięcie poleceń powłoki do skryptów eksportu środowiska atakujący powoduje, że skrypty synchronizacji manifestów dynamicznie oceniają niezweryfikowane dane wyjściowe. Udana eksploatacja pozwala na przejęcie potoków CI/CD, kradzież tokenów uwierzytelniania i poświadczeń wdrożeniowych oraz nieautoryzowany dostęp do systemów produkcyjnych.
- CVE-2026-116086Wysokie
W konflux-ci wykryto lukę, która pozwala atakującemu z uprawnieniem do wyzwalania automatycznych przepływów pracy na ujawnienie informacji poprzez dostarczanie spreparowanych tytułów zgłoszeń do skryptów przepływu pracy. Skrypt włącza tytuły dostarczone przez użytkownika bezpośrednio do zapytań danych bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie złośliwych poleceń filtrujących. W rezultacie poufne informacje, takie jak poświadczenia API, klucze wdrożeniowe i notatki wewnętrzne, mogą zostać ujawnione w logach przepływu pracy.
- CVE-2026-114217Wysokie
W konflux-ci wykryto lukę, w której skrypty automatyzacji CI przechowują wrażliwe tokeny dostępu GitHub w postaci jawnej na runnerze bez ich czyszczenia po wykonaniu. Lokalny atakujący z dostępem do środowiska CI może odczytać te poświadczenia, aby uzyskać nieautoryzowany dostęp do repozytorium, potencjalnie modyfikując kod źródłowy lub artefakty wydania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in konflux-ci. This vulnerability allows arbitrary code execution due to improper quoting of shell variables in deployment scripts. A local attacker who can supply arguments to the affected scripts could exploit this issue to trigger unintended command substitution, executing commands with the privileges of the deployment runner.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS