CVE-2024-42471
Yüksek
Açıklama
actions/artifact, GitHub Actions geliştirmek için kullanılan GitHub ToolKit'tir. 2.x dalında 2.1.2 sürümünden önceki actions/artifact sürümleri; yol aşımı (path traversal) içeren dosya adlarına sahip özel olarak hazırlanmış bir artefaktı çıkarmak için `downloadArtifactInternal`, `downloadArtifactPublic` veya `streamExtractExternal` kullanıldığında rastgele dosya yazma zafiyetine sahiptir. Kullanıcıların 2.1.2 veya daha yüksek bir sürüme yükseltmeleri önerilir. Bu sorun için bilinen bir geçici çözüm yoktur.
ÖnemYüksek
CVSS7.3
İstismar olasılığı—
ÜrünGithub Actions Toolkit
Yayın2 Eyl 2024
İlk görülme2 Eyl 2024
Zayıflık türüCWE-22Dizin geçişi (path traversal)
Nasıl düzeltilir
Güncelleyin
- github actions\/artifact2.1.7 ya da sonraki bir sürüm
- @actions/artifact2.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github actions_toolkit | Aralık belirtilmemiş | — |
| github actions\/artifact | 2.0.0 ≤ v < 2.1.7 | 2.1.7 |
| @actions/artifactnpm | 2.0.0 ≤ v < 2.1.2 | 2.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.