PT-2026-61746 · Gitleaks · Gitleaks

Fatih Çelik · CVE-2026-63728 · Publicado 2026-07-20 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Gitleaks versões anteriores a 8.30.1

Description Existe um problema de injeção de template onde atacantes que podem fornecer ou influenciar templates de relatório podem ler variáveis de ambiente arbitrárias e exfiltrar dados sensíveis. Isso é alcançado através do uso de funções de template Sprig não herméticas, que são funções capazes de acessar ou modificar o ambiente externo. Especificamente, atacantes podem utilizar as funções env, expandenv e getHostByName para extrair credenciais, tokens e chaves de API do processo hospedeiro e exfiltrá-los via consultas DNS, incluindo segredos identificados durante a varredura.

Recommendations Atualize o Gitleaks para a versão 8.30.1 ou posterior.

Correção

Enumeração de Fraquezas

CWE-1336

Identificadores relacionados

CVE-2026-63728

Produtos afetados

Gitleaks

Referências · 7

• https://github.com/gitleaks/gitleaks/commit/83d9cd684c87d95d656c1458ef04895a7f1cbd8e · Correção
• https://github.com/gitleaks/gitleaks · Nota
• https://fatihhcelik.github.io/posts/gitleaks-abusing-sprig-for-exfiltration/#the-fix · Nota
• https://twitter.com/VulmonFeeds/status/2079399233279373366 · Publicação no Twitter
• https://twitter.com/fatihclk01/status/2079452121607365033 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-63728 · Nota de Segurança
• https://vulncheck.com/advisories/gitleaks-secret-exfiltration-via-non-hermetic-sprig-template-functions-in-report-template-feature · Nota