compose-lint peut inclure la valeur résolue d’une variable d’image issue d’un fichier `.env` dans ses messages et propositions de correction ; un workflow qui fournit des secrets tout en analysant du contenu non fiable peut ainsi les exposer. Les versions concernées sont 0.22.0 à avant 0.32.0 ; mettre à jour vers 0.32.0 et éviter d’exécuter l’analyse sur des changements non fiables dans un contexte où des secrets sont disponibles.
Source : NVD — CVE-2026-123372
Analyse technique
Des valeurs issues du fichier `.env` sont substituées dans les champs d’image et peuvent être reprises dans les constats CL-0004 et CL-0019, les sorties JSON/SARIF et les journaux. L’exposition suppose notamment un workflow traitant du contenu non fiable alors que des secrets sont accessibles, par exemple certains usages de `pull_request_target` ou un runner auto-hébergé conservant le fichier.
Impact, versions et correctif
Action recommandée
Mettre à jour vers 0.32.0 ; ne pas rendre des secrets disponibles aux workflows qui analysent des changements non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).