CVE-2026-76054
Publiée le 2026-08-24 · Dernière modification le 2026-10-12
Les scanners Black Duck C/C++ (versions 1.0.17 à 3.0.6) divulguent des jetons d'API à tout sous-processus lancé lors d'une capture de build si ces jetons sont stockés dans des variables d'environnement spécifiques. Un attaquant capable d'exécuter du code au sein du processus de build du projet peut facilement voler ces jetons pour obtenir un accès de haut niveau à votre instance Black Duck. Cela nécessite un accès local à l'environnement de build, mais ne requiert aucun privilège spécial ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Invocation of Process Using Visible Sensitive Information in Black Duck blackduck-c-cpp 1.0.17 through 3.0.6 allows an actor able to execute code within the scanned project's build to obtain the Black Duck API token via the ambient process environment, which is inherited by subprocesses launched during build capture and signature scanning. This applies only where the token is supplied through the BLACKDUCK_API_TOKEN or BD_HUB_TOKEN environment variable. Upgrading does not remediate prior disclosure; any token supplied to an affected version through an environment variable should be rotated.