PT-2026-34001 · Unknown · Tekton Pipelines

1Seal + 1 · Publicado 2026-04-21 · Atualizado 2026-05-22 · CVE-2026-25542

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Name of the Vulnerable Software and Affected Versions Tekton Pipelines versões 0.43.0 até 1.11.0

Description As políticas de verificação de recursos confiáveis comparam uma string de origem de recurso refSource.URI com spec.resources[].pattern usando a função regexp.MatchString. Como essa função reporta uma correspondência se o padrão for encontrado em qualquer lugar da string, padrões não ancorados podem ser burlados por strings de origem controladas por atacantes que contenham o padrão confiável como uma substring. Isso pode causar uma correspondência de política não pretendida e alterar os modos ou chaves de verificação aplicáveis.

Recommendations Atualize o Tekton Pipelines para uma versão posterior à 1.11.0.

Correção

Enumeração de Fraquezas

CWE-185

Identificadores relacionados

CVE-2026-25542

GHSA-RMX9-2PP3-XHCR

Produtos afetados

Tekton Pipelines

Referências · 10

• https://github.com/tektoncd/pipeline/security/advisories/GHSA-rmx9-2pp3-xhcr · Aviso do Fabricante
• https://github.com/tektoncd/pipeline/commit/b8905600322aa86327baae0a7c04d6cf1207362a · Correção
• https://github.com/tektoncd/pipeline/releases/tag/v1.11.0 · Nota
• https://github.com/tektoncd/pipeline/commit/2c398711e6e9e232180508f0648425a8ea34dc9e · Nota
• https://github.com/tektoncd/pipeline · Nota
• https://twitter.com/infoflowcloud/status/2046637668830785638 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-25542 · Nota de Segurança
• https://twitter.com/CVEnew/status/2046636257770397773 · Publicação no Twitter
• https://t.me/cveNotify/164623 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rmx9-2pp3-xhcr · Aviso do Fabricante