CVE-2025-47928
Açıklama
Spotipy, Spotify Web API için bir Python kütüphanesidir. 4f5759dbfb4506c7b6280572a4db1aabc1ac778d commit'ine kadar olan sürümlerde, `.github/workflows/integration_tests.yml` dosyasında `pull_request_target` kullanımı ve ardından çatallanmış (forked) bir PR'ın head.sha değerinin checkout edilmesi, saldırganlar tarafından istismar edilebilir; çünkü güvenilmeyen kod, gizli verilere (base repodan gelen secret'lara) tam erişim sağlayarak çalıştırılabilir. Bu zafiyetin istismar edilmesiyle `GITHUB_TOKEN` ile `SPOTIPY_CLIENT_ID` ve `SPOTIPY_CLIENT_SECRET` gizli verilerinin sızdırılması mümkündür. Özellikle içerik yazma yetkilerine sahip olan `GITHUB_TOKEN`, depoyu tamamen ele geçirmek için kullanılabilir. GitHub Actions üzerindeki `pull_request_target`, özellikle genel depolarda ciddi bir güvenlik sorunudur; çünkü bir PR'dan gelen güvenilmeyen kodu, temel deponun bağlamında ve gizli verilere erişim yetkisiyle çalıştırır. 9dfb7177b8d7bb98a5a6014f8e6436812a47576f numaralı commit, soruna neden olan değişikliği geri almıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| spotipy-dev spotipy | = 4f5759dbfb4506c7b6280572a4db1aabc1ac778d | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.