CVSS 9.0 以上
CVE-2026-102649
要約
Burrito は Terraform 自動化用の Kubernetes オペレーターです。0.13.0 より前のバージョンでは、TerraformRepository の認証情報で webhookSecret が省略されているか空の場合、POST /api/webhook が署名のない GitHub および GitLab のイベントを受け付けます。burrito-server のエンドポイントに到達でき、追跡対象リポジトリの URL を知っている者は、Branch、Base、ID を指定したイベントを偽造して TerraformPullRequest カスタムリソースを作成・削除できます。この問題はバージョン 0.13.0 で修正されています。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
BurritoKubernetesTerraformGitHubGitLabgo-playground/webhooks
このタグの新着を RSS で受け取る: Burrito / Kubernetes / Terraform / GitHub / GitLab / go-playground/webhooks(使い方)
判定の理由
- CVSS 9.0 以上