CVE-2025-53546
Açıklama
Folo, besleme içeriklerini tek bir zaman tünelinde düzenler. .github/workflows/auto-fix-lint-format-commit.yml üzerinde pull_request_target kullanılması, güvenilmeyen kodun gizli bilgilere (temel depodan) tam erişimle çalıştırılabilmesi nedeniyle saldırganlar tarafından istismar edilebilir. Bu güvenlik açığının istismar edilmesiyle, yüksek yetkilere sahip olan GITHUB_TOKEN'ın sızdırılması mümkündür. Token içeriğe yazma yetkilerine sahip olduğu için GITHUB_TOKEN, deponun tamamen ele geçirilmesi amacıyla kullanılabilir. Bu güvenlik açığı 585c6a591440cd39f92374230ac5d65d7dd23d6a numaralı commit ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| RSSNext Folo | < 585c6a591440cd39f92374230ac5d65d7dd23d6a | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.