CI/CD
該標籤下有 4 篇文章
Jenkins 2.588 與 LTS 2.580.2 修補 15 個漏洞（CVE-2026-117612 至 117626）：確認版本，以及更新後要複查什麼
2026 年 10 月 28 日，Jenkins 專案發布安全公告，在每週版 2.588 與 LTS 2.580.2 中修補了 Jenkins 核心的 15 個漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影響的是每週版 2.587 及更早版本與 LTS 2.580.1 及更早版本。公告將其中 13 個評為高風險，2 個評為中風險。多數漏洞需要某種權限，例如 Overall/Read 或 Item/Configure（有些設定會對匿名使用者授予 Overall/Read）。例外是 CVE-2026-117618，即初始設定精靈中的競態條件，讓未經驗證的使用者能在初始設定期間建立管理員帳號，因此對暴露在網際網路上的新安裝 Jenkins 執行個體而言優先順序更高。公告列出的唯一替代做法，是在更新造成問題時關閉新增檢查的設定，以及強制啟用內容安全政策（CSP），後者可限制三個 XSS 漏洞的已知影響；真正的修復是更新。截至 11 月 3 日，本站未發現可信的遭利用報告，這 15 個漏洞也都不在 CISA 的已知遭利用漏洞（KEV）目錄中。本站的結論：確認您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要讓 Jenkins 暴露在網際網路上，也不要給匿名使用者任何權限，並在更新後複查使用者、管理員與代理節點。
osv-scanner 實務：pnpm、忽略 CVE、離線模式與常見錯誤
只回答導入之後才會遇到的問題，並以官方文件為依據。pnpm-lock.yaml 有支援；忽略設定寫在 osv-scanner.toml 的 IgnoredVulns 中，並可設定到期日；離線模式是三個用途不同的旗標。本站的看法：掃描工具回報的是已知漏洞，對於你自己固定的版本逐漸過時這件事不會發出任何提示，這需要另外的機制。
npm 供應鏈蠕蟲：安裝時如何竊取認證資訊，以及該怎麼防
加入一個相依套件，等於用你的權限執行別人寫的程式碼，所以防線要設在安裝的那一刻。本站的看法：簽章和來源證明沒有擋住這次攻擊，因此不能把它們當作信任的依據。有效的做法是預設停用安裝腳本、新版本發布後等幾天再採用、讓權杖保持短效且範圍最小。另外，懷疑遭感染時，撤銷的順序很重要。
Codecov 竄改事件（2021）——CI 工具遭竄改、機密資訊外洩的原因與防禦
根源在於『在 CI 中信任並執行的工具（curl|bash 的 Bash Uploader）在上游被竄改』。由於自己的程式碼毫髮無損，約兩個月都沒能察覺，CI 的機密資訊因此外洩。偵測靠的是總和檢查碼比對。在你的 CI 中，可用取得物的完整性檢核、機密的最小權限、輪替、egress 監控來防止重演。