CVE-2024-47179

RSSHub bir RSS ağıdır. 64e00e7 commit'inden önce, RSSHub'ın `docker-test-cont.yml` iş akışı, tüm depo kontrolünün ele geçirilmesine yol açabilecek olan Artifact Poisoning saldırısına karşı savunmasızdı. RSSHub'ın alt kullanıcıları bu sorundan etkilenmemektedir ve 64e00e7 commit'i temel sorunu gidererek depoyu artık savunmasız olmaktan çıkarmıştır. `docker-test-cont.yml` iş akışı, `PR - Docker build test` iş akışı başarıyla tamamlandığında tetiklenir. Ardından, tetikleyici iş akışını başlatan Pull Request hakkında bazı bilgiler toplar ve PR gövdesine ve gönderene bağlı olarak bazı etiketler belirler. Eğer PR aynı zamanda bir `routes` markdown bloğu içeriyorsa, `TEST_CONTINUE` ortam değişkenini `true` olarak ayarlar. İş akışı daha sonra, tek bir `rsshub.tar.zst` dosyası içermesi beklenen ve tetikleyici iş akışı tarafından yüklenen bir artefaktı indirir ve dışarı çıkarır. Ancak, 64e00e7 commit'inden önce, içerikler doğrulanmamıştı ve mevcut dosyaların üzerine yazılarak çalışma alanının kök dizinine çıkarılıyordu. Artefakt içeriği doğrulanmadığı için kötü niyetli bir aktörün; sadece sıkıştırılmış `rsshub.tar.zst` docker imajını değil, aynı zamanda ayrıcalıklı iş akışı bağlamında rastgele kod çalıştırmak için bir betik içeren kötü amaçlı bir `package.json` dosyasını da yükleyen bir Pull Request göndermesi mümkündür. 64e00e7 commit'i itibarıyla bu senaryo çözülmüş olup RSSHub deposu artık savunmasız değildir.