یک آسیب‌پذیری امنیتی با شناسه CVE-2026-93326 در نحوه مدیریت مراحل Build برای منابع Git شناسایی شده است. این نقص امنیتی به مهاجم اجازه می‌دهد تا با طراحی خاص در تعاریف Build، برخی از قوانین اعتبارسنجی Policy را دور بزند.
جزئیات فنی آسیب‌پذیری
در این سناریو، یک تعریف Build مخرب می‌تواند باعث شود که مخزن (Repository) در هنگام اجرای عملیات Git clone، به گونه‌ای به نظر برسد که از یک URL راه دور متفاوت با منبع واقعی ارسال شده است. این موضوع می‌تواند منجر به فریب سیستم‌های نظارتی شود که تنها بر اساس آدرس URL تصمیم‌گیری می‌کنند.
محدودیت‌های اکسپلویت
با این حال، تحلیل‌های فنی نشان می‌دهد که اگر سیاست‌های امنیتی (Policies) سخت‌گیرانه‌تر تعریف شده باشند، این آسیب‌پذیری اثرگذاری کمتری خواهد داشت. در صورتی که اعتبارسنجی بر اساس موارد زیر باشد، تمامی بررسی‌ها همچنان به درستی عمل می‌کنند:
- شناسه Commit SHA
- داده‌های مربوط به Commit
- امضاهای دیجیتال (Signatures)
