@hulumi/drift: Orphan reconciler accepted externally supplied execute plans

緊急 9.8CVE-2026-82858 · GHSA-2ffm-hxrq-qqmm · 31/08/2026 公開 · 08/10/2026 更新

要点

CVE-2026-82858 は @hulumi/drift に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.29%（全脆弱性の 21.0% より高い）。
対処：1.3.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
@hulumi/drift npm	`< 1.3.2`	`1.3.2`

概要

Impact: @hulumi/drift versions before 1.3.2 could accept externally supplied execute plans without sufficient provenance checks, allowing unsafe reconciliation input to be treated as trusted.

Patched in 1.3.2: execute-plan handling now validates provenance and rejects untrusted plans, with regression coverage.

Remediation: upgrade @hulumi/drift to 1.3.2 or later.

NVD の説明

@hulumi/drift versions before 1.3.2 accept externally supplied execute plans without sufficient provenance validation, allowing untrusted reconciliation input to be treated as trusted. Attackers can supply malicious execute plans that bypass security checks to perform unsafe reconciliation operations.

参考情報

@hulumi/drift のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

@hulumi/drift

npm

< 1.3.2

1.3.2

概要

Impact: @hulumi/drift versions before 1.3.2 could accept externally supplied execute plans without sufficient provenance checks, allowing unsafe reconciliation input to be treated as trusted.

Patched in 1.3.2: execute-plan handling now validates provenance and rejects untrusted plans, with regression coverage.

Remediation: upgrade @hulumi/drift to 1.3.2 or later.

NVD の説明