CVE-2023-28430
Təsvir
OneSignal mobil tətbiqlər üçün e-poçt, SMS, push bildiriş və tətbiqdaxili mesaj xidmətidir. Zapier.yml iş axını (workflow) məsələlər bağlandıqda (types: [closed]) tetiklenir. Təşkilat/Repozitoriya səviyyəsində standart iş axını icazələri oxuma-yazma olaraq təyin edildiyi üçün, iş axını tam yazı icazələrinə malik GitHub repozitoriya tokeni ilə başlayır. Bu iş axını, `${{ github.event.issue.title }}` (Məsələnin tam başlığı) şərhi ilə idarə olunan məlumatlarla aşağıdakı addımı yerinə yetirir ki, bu da hücumçuya GitHub Runner-i ələ keçirməyə və xüsusi əmrləri icra etməyə imkan verir; nəticədə hər hansı gizli məlumat (secret) oğurlana və ya repozitoriya dəyişdirilə bilər. Bu problem CodeQL vasitəsilə javascript-in "Expression injection in Actions" sorğusu ilə aşkar edilmişdir. Problem repozitoriyanın github action hissəsində həll edilmişdir. İstifadəçilərdən heç bir hərəkət tələb olunmur. Bu problem həmçinin `GHSL-2023-051` kimi izlənilir.
Necə düzəltmək olar
- onesignal react-native-onesignal4.5.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| onesignal react-native-onesignal | v < 4.5.1 | 4.5.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.