CVE-2026-45131
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W CloudPirates Open Source Helm Charts przed commitem fcf9302, przepływ pracy GitHub Actions (pull-request.yaml) wykonuje kod kontrolowany przez atakującego z forków w uprzywilejowanym kontekście, ujawniając sekrety repozytorium, w tym dane uwierzytelniające Docker Hub.
Ocena ryzyka
Atakujący może ukraść tokeny i dane uwierzytelniające, co może prowadzić do przejęcia kontenerów i dalszych ataków.
Rekomendacja
Zastosuj commit fcf9302 lub nowszy, aby naprawić podatność.
Inne podatności w CloudPirates Open Source Helm Charts
Zobacz wszystkie- CVE-2026-45132Krytyczne
W CloudPirates Open Source Helm Charts przed commitem fcf9302, przepływ pracy GitHub Actions (generate-schema.yaml) ujawnia poufne dane uwierzytelniające (Personal Access Token i klucz SSH) kodowi kontrolowanemu przez fork z powodu niebezpiecznego checkoutu i obsługi poświadczeń.
- CVE-2026-54532Średnie
CloudPirates Open Source Helm Charts to kolekcja wykresów Helm. Przed commitem 271d415 workflow pull_request_target jest podatny na zatruwanie pamięci podręcznej i kradzież tokenów OIDC. Workflow pull_request_target sprawdza kod forka przy użyciu github.event.pull_request.head.sha lub .head.ref, co daje kodowi kontrolowanemu przez atakującego dostęp do sekretów i tokenów repozytorium bazowego. Workflow zapisuje do współdzielonej pamięci podręcznej Actions, a kolejny workflow wydania przywraca z tego samego zakresu, pozwalając zatrutemu wpisowi wykonać się podczas wydania.
Oryginalny opis (angielski, źródło NVD)
CloudPirates Open Source Helm Charts is a collection of Helm charts. Prior to commit fcf9302, a GitHub Actions workflow (pull-request.yaml) executes attacker-controlled code from fork pull requests in a privileged context, exposing repository secrets including Docker Hub credentials and tokens without requiring maintainer approval. This issue has been patched via commit fcf9302.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS