- Yama var
- Son 7 gün
- CWE-829
CVE-2026-54532
CloudPirates Helm Charts'ta pull_request_target iş akışı önbellek zehirlenmesi ve OIDC belirteci çalınmasına açık
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
CloudPirates Open Source Helm Charts, Helm chart'larından oluşan bir koleksiyondur. 271d415 commit'inden önceki sürümlerde pull_request_target iş akışı önbellek zehirlenmesi ve OIDC belirteci çalınmasına karşı savunmasızdır. Bir pull_request_target iş akışı, github.event.pull_request.head.sha veya .head.ref kullanarak fork'taki kodu checkout eder. Bu durum, saldırgan kontrolündeki kodun temel depodaki gizli bilgilere ve belirteçlere erişmesine olanak tanır. Ayrıca bir pull_request_target iş akışı paylaşılan Actions önbelleğine yazar. Bunu takip eden bir release veya publish iş akışı aynı önbellek kapsamından geri yükleme yaptığında, zehirlenmiş bir önbellek girdisi sürüm sırasında çalıştırılabilir. Bu sorun 271d415 commit'i ile giderilmiştir.
Kaynaktaki açıklama (İngilizce)
CloudPirates Open Source Helm Charts is a collection of Helm charts. Prior to commit 271d415, pull_request_target workflow is vulnerable to cache poisoning and OIDC token theft. A pull_request_target workflow checks out fork code using github.event.pull_request.head.sha or .head.ref. This gives attacker-controlled code access to base repository secrets and tokens. A pull_request_target workflow writes to a shared Actions cache. A subsequent release or publish workflow restores from the same cache scope, allowing a poisoned cache entry to execute during release. This issue has been patched via commit 271d415.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| CloudPirates-io helm-charts | < 271d415975a64b7958d2740526dca870b70c8c21 | 271d415975a64b7958d2740526dca870b70c8c21 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.