CVE-2026-123369 Inyección de comandos de workflow de GitHub Actions mediante texto de archivos Compose en compose-lint
Antes de la 0.31.0, compose-lint imprime nombres de servicios, claves de entorno, líneas de archivos y otro texto de Compose controlado por el atacante sin neutralizar los abridores de comandos de workflow de GitHub Actions y Azure Pipelines. Cuando un workflow procesa una pull request, comandos heredados ##[ o un comando con doble dos puntos al inicio de línea pueden crear anotaciones falsas, ocultar regiones de log, enmascarar cadenas seleccionadas o invocar otros comandos reconocidos por el runner. Las rutas…
CVSS 4.0
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
tmatens compose-lint
< 0.31.0
Qué hacer
- Verificá si usás compose-lint y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Baja
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
compose-lint is a Docker Compose security linter that identifies dangerous misconfigurations before deployment. Prior to 0.31.0, compose-lint prints attacker-controlled service names, environment keys, file lines, and other Compose text without neutralizing GitHub Actions and Azure Pipelines workflow-command openers. When a workflow processes a pull request, legacy ##[ commands or a line-leading double-colon command can create false annotations, hide log regions, mask selected strings, or invoke other commands recognized by the runner. The affected text report paths do not alter the compose-lint exit code or pass or fail result, but they can misrepresent the CI output presented to reviewers. This issue is fixed in version 0.31.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.