CVE-2026-47172
Açıklama
Quest Bot; moderasyon, yardımcı araçlar ve destek için oluşturulmuş açık kaynaklı modern bir Discord Bot'udur. Versiyon 1.0.3 öncesinde, depo içerisinde yetkisiz derleme iş akışı tamamlandıktan sonra çalışan ayrıcalıklı bir dağıtım iş akışı bulunmaktadır. Derleme iş akışı çekme istekleri (pull requests) üzerinde çalışır ve dağıtım iş akışı, tetikleyici iş akışının head_sha değerini alır, bu kodu bir Docker imajına dönüştürür, bunu 'latest' olarak gönderir ve üretim ortamı dağıtımını tetikler. Bir saldırgan, main adlı bir daldan çekme isteği açabilirse, dağıtım iş akışı koşulu bu PR derlemesini dağıtılabilir olarak değerlendirebilir ve saldırgan tarafından kontrol edilen commit işlemini ayrıcalıklı bir dağıtım bağlamında derleyebilir. Bu durum, kötü amaçlı konteyner dağıtımına ve üretim botunun ele geçirilmesine yol açabilir. Bu sorun versiyon 1.0.3 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| duck-organization quest-bot | < 1.0.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.