CVE-2026-44723
Açıklama
Vowpal Wabbit bir makine öğrenimi sistemidir. .github/workflows/python_checks.yml iş akışı, dört farklı işteki dört ayrı adımda ${{ github.event.pull_request.title }} ifadesini doğrudan çift tırnaklı bash dizeleri içine yerleştirmekte ve her birinde bunu run_tests_model_gen_and_load.py Python test betiğine bir CLI argümanı olarak iletmektedir. Kabuk, Python'u çağırmadan önce genişletilmiş dizeyi yorumlamakta, bu da bir saldırganın tırnaklardan çıkmasına ve runner üzerinde rastgele komutlar çalıştırmasına olanak tanımaktadır. pull_request tetikleyicisi, herhangi bir ek erişim kapısı olmaksızın tüm dalları hedefleyen PR'larda (branches: ['*']) çalışmaktadır. Bu güvenlik açığı 998e390e80a7e8192d7849b7784bc113dbd190ad commit'i ile düzeltilmiştir.
Nasıl düzeltilir
- vowpalwabbit vowpal_wabbit2026-05-04 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vowpalwabbit vowpal_wabbit | v < 2026-05-04 | 2026-05-04 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.