CVE-2026-75569
WysokieCVSS 7.7Streszczenie
W procesie budowania mce-operator-bundle skrypty są pobierane i wykonywane ze zdalnego repozytorium bez weryfikacji integralności, takiej jak przypięcie do konkretnego commita czy weryfikacja podpisu. Osoba atakująca z dostępem do zapisu w tym repozytorium może wstrzyknąć i wykonać dowolny kod podczas budowania. Konsekwencją jest naruszony proces budowania, co może prowadzić do dystrybucji złośliwego oprogramowania.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu do artefaktów budowania, co może skutkować dystrybucją zainfekowanego oprogramowania do użytkowników końcowych i naruszeniem zaufania do dostarczanego produktu.
Rekomendacja
Należy natychmiast zweryfikować integralność wszystkich skryptów pobieranych ze zdalnych repozytoriów, stosując przypięcie do commitów i weryfikację podpisów. Zaleca się również audyt procesu budowania pod kątem nieautoryzowanych zmian.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in mce-operator-bundle. The build process fetches and executes scripts from a remote repository without performing integrity checks, such as commit pinning or signature verification. This allows a malicious actor with write access to the remote repository to inject and execute arbitrary code during the build. The consequence is a compromised build process, potentially leading to the distribution of malicious software.