CVE-2026-76139
WysokieCVSS 8.0Streszczenie
W komponencie acm-operator-bundle stwierdzono podatność polegającą na tym, że proces budowy pobiera i uruchamia skrypt ze zdalnego źródła bez weryfikacji jego autentyczności i integralności. Skrypt uzyskuje dostęp do wrażliwych poświadczeń, takich jak tokeny GitHub i hasła do rejestrów, używanych w środowisku budowy. Zdalny atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, co prowadzi do nieautoryzowanego dostępu do zasobów budowy i potencjalnego naruszenia integralności pakietu operatora.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do poświadczeń i zasobów budowy, co może prowadzić do naruszenia integralności i poufności dostarczanego oprogramowania.
Rekomendacja
Zaleca się natychmiastowe sprawdzenie procesu budowy, weryfikację integralności pobieranych skryptów oraz zastosowanie mechanizmów podpisywania i weryfikacji źródeł.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in acm-operator-bundle. The build process for this component downloads and runs a script from a remote source without verifying its authenticity or integrity. This script gains access to sensitive credentials, such as GitHub access tokens and registry passwords, used in the build environment. A remote attacker could exploit this vulnerability to inject malicious code, leading to unauthorized access to build resources and potential compromise of the resulting operator bundle.