Veille sécuritéCloud & DevOps
P4Faible
compose-lint pouvait suivre des liens symboliques contrôlés par le projet vers des fichiers Compose ou `env_file` situés à l’extérieur du projet. Des erreurs d’analyse ou des constats associés pouvaient alors divulguer des extraits de contenu ou des noms de clés ; la version 0.25.0 corrige le problème.
Docker
IdentifiantCVE-2026-123373
GravitéFaible
Exploitationnon connue / non déterminée
Correctif0.25.0
Source : NVD — CVE-2026-123373
Analyse technique
Les valeurs de `env_file` ne sont pas imprimées selon l’avis ; le risque décrit concerne notamment des extraits d’erreur et des noms de clés de type identifiant.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée le 2026-11-09 à 18:17:26.467Z, dans la période demandée.
ImpactDivulgation possible d’extraits de fichiers ou de noms de clés dans les sorties CI.
Versions affectées>= 0.2.0, < 0.25.0 ; les cas `COMPOSE_FILE` et `env_file` apparaissent à partir de 0.22.0 et 0.23.0 respectivement
Version corrigée0.25.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-11-09T18:17:26.467Z
Mise à jour2026-11-09T23:17:15.360Z
Action recommandée
Mettre à niveau compose-lint vers 0.25.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).