CVE-2026-24480
Açıklama
QGIS; ücretsiz, açık kaynaklı ve platformlar arası bir coğrafi bilgi sistemidir (GIS). Depo, 76a693cd91650f9b4e83edac525e5e4f90d954e9 commit'inden önce, `pull_request_target` tetikleyicisini kullanması ve ardından güvenilmeyen pull request kodunu ayrıcalıklı bir bağlamda checkout edip çalıştırması nedeniyle uzaktan kod çalıştırma ve depo ele geçirilmesine karşı savunmasız olan "pre-commit checks" adlı bir GitHub Actions iş akışı içermekteydi. `pull_request_target` tarafından tetiklenen iş akışları, temel deponun kimlik bilgileriyle ve gizli verilere erişimle çalışıyordu. Eğer bu iş akışları, harici bir pull request'in baş kısmından (saldırgan kontrolünde olabilecek) kod checkout eder ve çalıştırırsa, saldırgan yüksek ayrıcalıklarla rastgele komutlar çalıştırabilirdi. Bu güvensiz yapı, GitHub ve güvenlik araştırmacıları tarafından bir güvenlik riski olarak belgelenmiştir. 76a693cd91650f9b4e83edac525e5e4f90d954e9 commit'i savunmasız kodu kaldırmıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| qgis QGIS | < 76a693cd91650f9b4e83edac525e5e4f90d954e9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.