Une voie d’arrêt anticipé de compose-lint peut contourner la protection contre la divulgation de secrets et produire des constats contenant des valeurs résolues depuis `.env`, lorsque l’analyse dépasse 20 000 constats. Les versions concernées sont 0.32.0 à avant 0.33.0 ; mettre à jour vers 0.33.0 et ne pas analyser du contenu non fiable dans un workflow disposant de secrets avant cette mise à jour.
Source : NVD — CVE-2026-123796
Analyse technique
Le contrôle de la limite de 20 000 constats est effectué avant le remplacement des valeurs résolues par leurs références de variables. Un contenu conçu pour dépasser cette limite peut donc déclencher la sortie anticipée avec des valeurs de secrets dans les textes, JSON, SARIF et résultats Code Scanning ; l’exposition requiert un workflow fournissant des secrets au fichier `.env`.
Impact, versions et correctif
Action recommandée
Mettre à jour vers 0.33.0 et protéger les secrets des workflows qui analysent des changements non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).