Dans compose-lint, des liens symboliques vers un fichier `.env` ou un répertoire d’inclusion extérieur au projet pouvaient permettre d’exposer des données de l’environnement du runner dans les rapports et journaux CI. Les versions concernées sont 0.22.0 à 0.30.x, avec le cas des répertoires d’inclusion introduit à partir de 0.28.0 ; la correction est disponible en 0.31.0.
Source : NVD — CVE-2026-123368
Analyse technique
La divulgation dépend d’un workflow CI traitant des changements non fiables et disposant de données sensibles accessibles au processus ; les résultats réussite/échec du linter ne sont pas modifiés.
Impact, versions et correctif
Action recommandée
Mettre à niveau compose-lint vers 0.31.0 ou une version ultérieure et éviter d’exposer des secrets aux workflows qui analysent des changements non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).