CVE-2026-55675
Təsvir
Salty sənədlər repozitoriyası docs.saltbox.dev vebsaytını qurur və yerləşdirir. 649c9aea2daef1168eeb0415b44e65dbbde9f220 commit-indən əvvəl, .github/workflows/trigger-pr-build.yml faylı etibarsız fork commit-ini pr_info artefaktında qeyd edir və .github/workflows/build-pr.yml faylındakı gizli məlumatları saxlayan workflow_run işi pip install -r requirements.txt əmrini icra etməzdən əvvəl həmin commit-i checkout edir. Buna görə də, fork pull request vasitəsilə hücum edən tərəfindən tərtib edilmiş setup.py və ya PEP 517 build hook-ları təqdim edilə bilər ki, onların quraşdırma kodu CF_API_TOKEN, GH_TOKEN, MKDOCS_GIT_COMMITTERS_APIKEY və yazı imkanına malik GITHUB_TOKEN ilə imtiyazlı baza repozitoriya workflow-unda icra olunaraq gizli məlumatların ifşasına və növbəti kompromisə yol açır. Zəiflik repozitoriya-fork mühafizəsi səbəbindən yaranmayıb və nümayiş etdirilən yol yalnız artefakt metadata-sına deyil, həmçinin hücum edənin fork məzmunu üzərində nəzarətə tələb edir. Bu zəiflik 649c9aea2daef1168eeb0415b44e65dbbde9f220 commit-i ilə aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| saltyorg docs | < 649c9aea2daef1168eeb0415b44e65dbbde9f220 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.