CVE-2026-54168— Pipelines-as-Code 未限定范围令牌权限漏洞
一分钟漏洞结论
影响对象
tektoncd pipelines-as-code
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Pipelines-as-Code 是一种 CI/CD 系统，允许用户在源代码仓库中定义 Tekton 流水线。在 0.37.8、0.39.6、0.42.1 和 0.48.0 版本之前，当 GitHub App 安装在多个仓库上时，在处理 webhook 期间创建的 GitHub App 安装令牌（installation token）并未被限定到触发该事件的特定仓库。拥有某个仓库推送权限的用户可以提交一个 PipelineRun，其中包含 远程任务注解，该注解指向同一安装范围内的一个私有仓库。当 函数未返回显式的
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-54168 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Pipelines-as-Code: Unscoped GitHub App installation token allows unauthorized access to private repositories via remote task resolution
来源: CVE Program / CVE List V5
Vulnerability Description
Pipelines-as-Code is a CI/CD system that lets users define Tekton pipelines in source code repositories. Prior to 0.37.8, 0.39.6, 0.42.1, and 0.48.0, a GitHub App installation token created during webhook processing is not scoped to the repository that triggered the event when the App is installed across multiple repositories. A user with push access to one repository can submit a PipelineRun containing a pipelinesascode.tekton.dev/task remote task annotation that targets a private repository in the same installation. When ScopeTokenToListOfRepos returns no explicit scope, the missing triggering repository ID leaves the token able to access the entire installation. Pipelines-as-Code resolves and inlines the remote private task with that token, disclosing the repository's Tekton definitions. The demonstrated impact is read-only and does not provide write access. This issue is fixed in versions 0.37.8, 0.39.6, 0.42.1, and 0.48.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
特权管理不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| tektoncd | pipelines-as-code | < 0.37.8 | - |
|
二、漏洞 CVE-2026-54168 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-54168 的情报信息
请登录查看更多情报信息。
CVE-2026-54168 厂商页面 (4)
-
🔗 Release v0.42.1 · tektoncd/pipelines-as-code · GitHub x_refsource_MISC
-
-
-
IV. Related Vulnerabilities
V. Comments for CVE-2026-54168
暂无评论