CVE-2025-61584
Açıklama
serverless-dns; Cloudflare Workers, Deno Deploy, Fastly ve Fly.io üzerinde konuşlandırılan bir RethinkDNS çözücüsüdür. 0.1.30 dahil önceki sürümlerde, pr.yml GitHub Action bileşeninin güvenilmeyen girdileri, özellikle github.event.pull_request.head.repo.clone_url ve github.head_ref değerlerini, çalıştırıcıdaki bir komuta güvensiz bir şekilde yerleştirdiği bir güvenlik açığı bulunmaktadır. Eylemin pull_request_target tetikleyicisini kullanması nedeniyle varsayılan olarak geniş izinlere sahiptir. Yetkisiz bir saldırgan, bu güvenlik açığını kullanarak depoya rastgele veriler gönderebilir. Bunun son kullanıcı üzerindeki etkisi, serverless-dns çalıştırıldığında saldırganın kodunun yürütülmesidir. Bu sorun c5537dd commit'i ile düzeltilmiştir ve 0.1.31 sürümünde yayınlanması beklenmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| serverless-dns serverless-dns | < 0.1.31 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.