6.7 Moyenne

CVE-2026-121522 Possible panic from Git source resolver

Description

In BuildKit versions v0.26.0 through v0.34.1, a specific build definition that resolves metadata for the same Git source reference twice can cause the BuildKit daemon to panic and crash, interrupting builds handled by that daemon. The issue is fixed in v0.34.2.

Détail CVSS 4.0

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Exploitable avec un accès local à la machine, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Local
Complexité: Faible
Prérequis d’attaque: Aucun
Privilèges requis: Aucun
Interaction: Active
Confidentialité: Aucun
Intégrité: Aucun
Disponibilité: Élevé
Confidentialité des autres systèmes: Aucun
Intégrité des autres systèmes: Aucun
Disponibilité des autres systèmes: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
buildkit 0.26	0.26.0 → < 0.34.2	0.34.2

Références

github.com github.com

Chronologie

Publiée 3 novembre 2026
Dernière modification 3 novembre 2026

Les 27 CVE de buildkit →

CVE-2026-121520 Malicious client could set xattr value outside of BuildKit state directory 4.5 Moyenne CVE-2026-93321 A malicious frontend can submit an LLB definition that causes buildkitd to panic and terminate, interrupting all… 6.9 Moyenne CVE-2026-93315 When proxy networking with CA injection is enabled, a build can modify its CA bundle before cleanup 5.8 Moyenne CVE-2026-93326 A build step for a Git source, crafted in a specific way, can bypass some policy validation rules 6.0 Moyenne

Suivre cette CVE