CVE-2025-49013

WilderForge, Wildermyth üçün əsas modlama API-dır. WilderForge təşkilatının bir çox layihələrində kritik boşluq aşkar edilmişdir. Problem, GitHub Actions iş axınlarında (workflows) `${{ github.event.review.body }}` və digər istifadəçi tərəfindən idarə olunan dəyişənlərin shell skript kontekstləri daxilində təhlükəsiz olmayan şəkildə istifadəsindən qaynaqlanır. Bu, kod inyeksiyası boşluğuna yol açır: shell meta simvolları və ya əmrləri ehtiva edən xüsusi hazırlanmış pull request rəyi göndərən zərərli şəxs, GitHub Actions runner-də ixtiyari shell kodu icra edə bilər. Bu, iş axınının icazələri ilə ixtiyari əmrlerin icrasına səbəb ola bilər ki, bu da CI infrastrukturunun, gizli məlumatların (secrets) və build nəticələrinin təhlükə altına düşməsinə gətirib çıxara bilər. WilderForge/WilderForge, WilderForge/ExampleMod, WilderForge/WilderWorkspace, WilderForge/WildermythGameProvider, WilderForge/AutoSplitter, WilderForge/SpASM, WilderForge/thrixlvault, WilderForge/MassHash və/və ya WilderForge/DLC_Disabler repozitoriyalarını idarə edən və ya onlara töhfə verən tərtibatçılar, həmçinin yuxarıdakı repozitoriyalardan hər hansı birini fork edən və təsirlənmiş GitHub Actions iş axınlarını yenidən istifadə edən istifadəçilər risk altındadır. Yuxarıda qeyd olunan proqram təminatlarının son istifadəçiləri və yalnız hazır release-ləri və ya artefaktları quraşdıran istifadəçilər təsirlənmir. Bu boşluq, həmin nəticələr bu boşluğun istismarı zamanı istehsal edilməyibsə, proqram təminatının runtime davranışına və ya kompilyasiya olunmuş nəticələrinə təsir etmir. Hazırkı müvəqqəti həll yolu təsirlənmiş repozitoriyalarda GitHub Actions-u deaktiv etmək və ya təsirlənmiş iş axınlarını silməkdir.