CVE-2025-54594
Təsvir
react-native-bottom-tabs, React Native üçün Native Bottom Tabs kitabxanasıdır. 0.9.2 və daha aşağı versiyalarda, github/workflows/release-canary.yml GitHub Actions repozitoriya iş axını (workflow) pull_request_target hadisə tətikləyicisindən yanlış istifadə etmişdir ki, bu da fork edilmiş pull request-dən gələn etibarsız kodun imtiyazlı kontekstdə icrasına şərait yaratmışdır. Hücumçu package.json faylında zərərli preinstall skripti olan bir pull request yarada və sonra xüsusi şərh (!canary) yazmaqla həssas iş axınını tətikləyə bilərdi. Bu, ixtiyari kodun icrasına imkan vermiş, nəticədə GITHUB_TOKEN və NPM_TOKEN kimi məxfi sirrlərin sızmasına səbəb olmuşdur və hücumçunun repozitoriyaya zərərli kod yükləməsinə və ya NPM reyestrində kompromisə uğramış paketlər dərc etməsinə yol aça bilərdi. github/workflows/release-canary.yml faylını silən düzəliş commit-i mövcuddur, lakin bu düzəlişi ehtiva edən versiya hələ dərc edilməmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| callstackincubator react-native-bottom-tabs | <= 0.9.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.