CVE-2026-82856

Açıklama ve Etki

@hulumi/policies versions before 1.3.2 fail to properly validate set-qualified AWS IAM condition operators in GitHub OIDC trust policies. Attackers can use ForAnyValue:StringLike operators to hide wildcard GitHub Actions OIDC subject conditions from security guardrails.

Referanslar

• https://github.com/kerberosmansour/hulumi/security/advisories/GHSA-q2f7-m237-v562
• https://www.vulncheck.com/advisories/hulumi-policies-before-1.3.2-oidc-trust-policy-bypass

Güvenli Doğrulama Notu

Bu sayfa saldırı gerçekleştiren payload'lar çalıştırmaz. Doğrulama; etkilenen ürün/sürümün envanterden kontrol edilmesi, üretici güvenlik duyurusunun incelenmesi ve güncellemenin uygulanması üzerinden yapılmalıdır.