CVE-2026-63728

ŚrednieCVSS 6.3

Opublikowano: 21/07/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Gitleaks przed wersją 8.30.1 zawiera podatność na wstrzykiwanie szablonów, która pozwala atakującym na odczyt zmiennych środowiskowych i eksfiltrację wrażliwych danych przez funkcje szablonów Sprig.

Ocena ryzyka

Atakujący może wykraść tokeny, klucze API i sekrety wykryte podczas skanowania, co prowadzi do naruszenia poufności danych.

Rekomendacja

Zaktualizuj Gitleaks do wersji 8.30.1 lub nowszej. Nie używaj niezaufanych szablonów raportów.

Inne podatności w Gitleaks

CVE-2026-124039Niskie
Gitleaks w wersji do 8.30.1 zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień. Plik wskazany przez --report-path jest tworzony przez cmd/root.go z użyciem os.Create i domyślnych uprawnień, co pozwala lokalnym użytkownikom na odczyt raportów ze skanowania.

Oryginalny opis (angielski, źródło NVD)

Gitleaks prior to 8.30.1 contains a template injection vulnerability that allows attackers who can supply or influence report templates to read arbitrary environment variables and exfiltrate sensitive data by leveraging non-hermetic Sprig template functions. Attackers can craft malicious report templates using the env, expandenv, and getHostByName functions to extract credentials, tokens, and API keys from the host process and exfiltrate them through DNS queries, including secrets discovered during the scan itself.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS