Dans compose-lint, un lien symbolique utilisé comme fichier de politique peut pointer hors du projet ; si le fichier cible échoue à l’analyse YAML, une portion de sa ligne peut être exposée dans les erreurs, les journaux ou les résultats SARIF. Les versions concernées sont 0.2.0 à avant 0.32.0 ; mettre à jour vers 0.32.0 et éviter que les workflows traitant des contributions non fiables puissent lire des fichiers sensibles via ce mécanisme.
Source : NVD — CVE-2026-123371
Analyse technique
Un attaquant peut proposer un changement qui fait pointer `.compose-lint.yml` vers un fichier externe, par exemple un fichier d’identifiants accessible au runner. La fuite est partielle et la position exacte n’est pas contrôlée par l’attaquant ; elle peut néanmoins atteindre les journaux et les notifications d’exécution d’outils GitHub Actions.
Impact, versions et correctif
Action recommandée
Mettre à jour vers compose-lint 0.32.0 et limiter l’accès des workflows de contributions non fiables aux fichiers sensibles du runner.
Sources
Priorisation DFS : P4 · 1 source(s).