Unknown · Vela Compiler · CVE-2020-26294
**Nome do software vulnerável e versões afetadas:
Versões do Vela anteriores à 0.6.1
Versões do compilador Vela anteriores à 0.6.1
Descrição:
A vulnerabilidade permite a exposição da configuração do servidor, afetando todos os usuários do Vela. Um invasor pode usar a função `env` do Sprig para recuperar informações de configuração. Isso pode ser feito por meio da funcionalidade de modelos de pipeline. Por exemplo, usando a função `env` em um modelo para exibir informações confidenciais, como `VELA SOURCE CLIENT` ou `VELA SECRET`.
Recomendações:
Para versões anteriores à 0.6.1, atualize para a versão 0.6.1.
Alterne todos os segredos para minimizar o risco de exploração.
Como solução alternativa temporária, considere restringir o uso da função `env` do Sprig em modelos de pipeline até que o problema seja resolvido.