CVE-2026-116676— Atlantis 通过 PR 控制工作区命令注入导致远程代码执行
一分钟漏洞结论
影响对象
runatlantis atlantis
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Atlantis 是一款自托管的 Go 语言应用程序，通过 Webhook 监听 Terraform 的 Pull Request（拉取请求）事件。从 0.4.0 版本到 0.47.1 版本，Atlantis 会将由拉取请求控制的、在 中指定的工作区（workspace）值，作为参数传递给 Terraform 命令；这些参数通过 拼接成字符串后，经由 执行。任何拥有拉取请求权限且其请求符合 Atlantis 执行计划（plan）条件的认证贡献者，均可在工作区名称中注入 Shell 元字符，从而以 Atlantis
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-116676 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Atlantis: OS command injection through PR-controlled Terraform workspace enables RCE during plan
来源: CVE Program / CVE List V5
Vulnerability Description
Atlantis is a self-hosted golang application that listens for Terraform pull request events via webhooks. From version 0.4.0 until 0.47.1, Atlantis passes the pull-request-controlled workspace value from atlantis.yaml into Terraform command arguments that are joined with strings.Join(args, " ") and executed through sh -c. An authenticated contributor whose pull request is eligible for an Atlantis plan can include shell metacharacters in the workspace name, causing arbitrary commands to execute as the Atlantis service account without custom workflows, apply permission, or a malicious Terraform provider. External contributors can reach the flaw through fork pull requests only when --allow-fork-prs is enabled, while eligible same-repository branches do not require that option. The commands inherit the Atlantis process environment and can access cloud-provider, Terraform, and version-control credentials as well as files, state, and network resources available to the service. This issue is fixed in version 0.47.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| runatlantis | atlantis | >= 0.4.0, < 0.47.1 | - |
|
二、漏洞 CVE-2026-116676 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-116676 的情报信息
请登录查看更多情报信息。
CVE-2026-116676 其他参考 (5)
-
https://github.com/runatlantis/atlantis/pull/6792 x_refsource_MISC
-
https://github.com/runatlantis/atlantis/releases/tag/v0.47.1 x_refsource_MISC
-
https://github.com/runatlantis/atlantis/security/advisories/GHSA-rjh2-4xgw-p2hj x_refsource_CONFIRM