CVE-2026-12171

auto-changelog 2.6.1 versiyasından əvvəl hədəf repozitoriyanın daxilindəki konfiqurasiyanı (.auto-changelog faylı və package.json-dakı auto-changelog açarı) öz seçimlərinə birləşdirir və həmin etibarsız mənbədən gələn təhlükəsizlik baxımından kritik seçimləri tətbiq edir. handlebarsSetup seçimi require() funksiyasına ötürülür, buna görə də auto-changelog-un hücumçu tərəfindən idarə olunan repozitoriya məzmunu üzərində işlədilməsi (məsələn, etibarsız pull request başlığını yoxlayan CI iş axınında və ya lokalda fork edilmiş və ya üçüncü tərəf repozitoriyasında) repozitoriya asılılıqları heç vaxt quraşdırılmadan, hücumçunun seçdiyi kodun çağırıcı istifadəçinin və ya CI tapşırığının imtiyazları ilə (o cümlədən iş axını sirlərinə giriş daxil olmaqla) icra edilməsinə səbəb olur. plugins seçimi eynilə repozitoriyadan hücumçu tərəfindən idarə olunan modulları yükləyir. Eyni şərtlər altında, appendGitLog/appendGitTag git arqument inyeksiyasına (məsələn, ixtiyari faylları yazmaq üçün --output=) imkan verir, output hücumçunun təsir etdiyi məzmunun ixtiyari yollara yazılmasına şərait yaradır və template hücumçunun seçdiyi URL-ə kənar sorğu göndərməyə səbəb olur. Versiya 2.6.1 repozitoriya daxili konfiqurasiyanı etibarsız hesab edir və yeni --unsafe-config bayrağı ötürülmədikdə, bu seçimlər təyin edildikdə işləməyi rədd edir.