Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-94

CVE-2026-116086

Konflux-ci'de GitHub iş akışı sorun yönetiminde jq filtre enjeksiyonu

konflux-ci

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
0 gün
Kaydı açan
redhat

Yönetici özeti

Bu açık, sistemlerinize erişimi olan kötü niyetli bir kişinin şirketinizin gizli anahtarlarına ve kimlik bilgilerine ulaşmasına yol açabilir. Bu da veri sızıntısı, yetkisiz erişim ve itibar kaybı riskini doğurur. Etkilenen sürümlerin öncelikli olarak incelenmesi ve güncellenmesi önerilir.

ÖzetTürkçe

Konflux-ci içindeki bir hata, otomatik iş akışı çalıştırma yetkisine sahip bir saldırganın hazırladığı sorun başlıklarını iş akışı betiklerine vererek jq filtre komutları enjekte etmesine olanak tanıyor. Kullanıcı girdisi veri sorgularına yeterli temizlenmeden eklendiği için bu durum CWE-94 kapsamında değerlendiriliyor. Etkilenen sürümler 0.2.2 ve 0.2.3-rc.0 olarak bildirilmiştir.

Saldırgan ne yapabilir?

Saldırgan, depo sorgularından dönen API kimlik bilgileri, dağıtım anahtarları ve dahili notlar gibi hassas bilgilerin iş akışı günlüklerinde açığa çıkmasına neden olabilir. CVSS puanı 8.8 (YÜKSEK) olup gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki öngörülmektedir.

Kaynaktaki açıklama (İngilizce)

A flaw was found in konflux-ci. An attacker with permission to trigger automated workflow runs can cause an information disclosure by providing crafted issue titles to workflow scripts. The affected script incorporates user-provided titles directly into data queries without adequate sanitization, allowing the attacker to inject malicious filter commands. As a result, sensitive information such as API credentials, deployment keys, and internal notes returned from repository queries may be exposed in workflow logs.

Üreticinin geçici önlemi (İngilizce)

Mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base, or stability.

Ne yapmalı?

  1. Red Hat, bu sorun için bir düzeltme ya da geçici çözüm sunmadığını belirtmektedir. Kaynak verilerde belirtilen bir sabit sürüm bulunmamaktadır; konflux-ci sürümünüzü 0.2.2 ve 0.2.3-rc.0 ile sınırlandırarak etkilenip etkilenmediğinizi kontrol edin. Üretici
  2. Etkilenen sürümlerden birini kullanıyorsanız, iş akışlarını geçici olarak devre dışı bırakın ya da otomatik tetiklenen çalıştırmaları yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
  3. Sorun başlıklarını doğrudan jq sorgularına eklemek yerine, veriyi güvenli bir şekilde işleyen ve filtre ifadelerinden ayrılmış değişkenler kullanan bir yaklaşıma geçin. Genel öneri
  4. Yayımlanmış bir düzeltme çıkana kadar iş akışı günlüklerinde kimlik bilgisi ve gizli anahtar sızıntısı olup olmadığını inceleyin; şüphe varsa anahtarları ve belirteçleri yenileyin. Genel öneri

Ek önlemler

  • İş akışlarını tetikleyebilen kullanıcı izinlerini en düşük gerekli seviyede tutun. Genel öneri
  • İş akışı günlüklerinde API anahtarı, belirteç ve gizli bilgi desenlerini tarayan araçlar kullanın. Genel öneri
  • CI/CD sırlarını mümkün olduğunca kısa ömürlü tutun ve düzenli olarak döndürün. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
konflux-ci ≥ 0.2.2, ≤ 0.2.2 –
≥ 0.2.3-rc.0, ≤ 0.2.3-rc.0 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.