CVE-2025-54594
Açıklama
react-native-bottom-tabs, React Native için yerel alt sekmeler sunan bir kütüphanedir. 0.9.2 ve altı sürümlerde, github/workflows/release-canary.yml GitHub Actions depo iş akışı, pull_request_target olay tetikleyicisini hatalı şekilde kullanmış; bu durum, çatallanmış (forked) bir çekme isteğinden gelen güvenilmeyen kodun ayrıcalıklı bir bağlamda yürütülmesine izin vermiştir. Bir saldırgan, package.json dosyası içinde kötü amaçlı bir preinstall betiği içeren bir çekme isteği oluşturabilir ve ardından belirli bir yorum (!canary) paylaşarak savunmasız iş akışını tetikleyebilir. Bu durum, keyfi kod çalıştırılmasına olanak tanıyarak GITHUB_TOKEN ve NPM_TOKEN gibi hassas sırların sızdırılmasına yol açmış ve bir saldırganın depoya kötü amaçlı kod göndermesine veya NPM kayıt defterine tehlike arz eden paketler yayınlamasına imkan tanımış olabilir. github/workflows/release-canary.yml dosyasını kaldıran bir düzeltme commit'i mevcuttur ancak bu düzeltmeyi içeren bir sürüm henüz yayınlanmamıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| callstackincubator react-native-bottom-tabs | <= 0.9.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.