CVE-2026-94620

Classroom 50, proqramlaşdırma tapşırıqlarını GitHub vasitəsilə idarə etmək və qiymətləndirmək üçün pulsuz və açıq mənbəli bir alətdir. Versiya 1.11.0-dan əvvəl, `gh teacher download` hər bir tələbənin tapşırıq repozitoriyasını klonlayır və sonra avtomatik qiymətləndirmə artefaktlarını (`result.json` və `results.json`) yeni klonlanmış iş ağacına yazır. Yazma prosesi simvolik keçidləri (symlinks) izlədiyi üçün, `result.json` və ya `results.json` fayllarını **simvolik keçid** kimi göndərən tələbə (`git clone` tərəfindən olduğu kimi materiallaşdırılır), müəllimin yazma əməliyyatını istənilən yola yönləndirə bilərdi — məsələn, `~/.zshrc`, `~/.ssh/authorized_keys`, cron faylına və ya git-in sonradan icra etdiyi klon daxilindəki `.git/hooks/*` faylına. Yazılan baytlar hücumçunun nəzarətindədir (`result.json` üçün tələbənin yüklədiyi release aktivləri; `results.json` üçün tələbə tərəfindən seçilmiş submit-tag adları). Bu, müəllim kimi kodun icrasına səbəb olan ixtiyari fayl yazılmasıdır və müəllimin `gh` tokeni bütün sinif təşkilatı üzrə `admin:org`, `repo` və `workflow` imtiyazlarına malikdir. Versiya 1.11.0 yamaya malikdir. Bəzi alternativ həll yolları mövcuddur. Etibarsız tələbə repozitoriyalarına qarşı `gh teacher download` əmrini yerinə yetirməkdən çəkinin və ya onu həssas host fayllarına və ya kimlik məlumatlarına girişi olmayan birdəfəlik qum qutusu (sandbox) / konteyner daxilində işlədin. Artefaktların yenilənməsi mərhələsinə icazə verməzdən əvvəl klonlanmış ağaclarda simvolik keçidli, sabit keçidli (hardlinked) və ya xüsusi (`result.json`/`results.json`) girişlərin olub-olmadığını yoxlayın.