CVE-2026-48547

Yüksek

Açıklama

KanaDojo, pull request erişimine sahip bir saldırganın, release.yml iş akışındaki bir child_process.execSync() çağrısına temizlenmeden dahil edilen patchNotesData.json dosyasının version veya changes alanlarına kabuk meta karakterleri ekleyerek rastgele kabuk komutları yürütmesine olanak tanıyan bir komut enjeksiyonu zafiyeti içermektedir. Saldırganlar, içerik yazma izinlerine ve GITHUB_TOKEN erişimine sahip GitHub Actions çalıştırıcısını tetiklemek için kötü amaçlı bir pull request'in birleştirilmesini sağlayabilirler.

ÖnemYüksek

CVSS7.3

İstismar olasılığı—

ÜrünLingdojo Kana-dojo

Yayın11 Haz 2026

İlk görülme11 Haz 2026

Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu

Nasıl düzeltilir

Güncelleyin

lingdojo kana-dojo0.1.18 ya da sonraki bir sürüm

Yamalar

github.com/lingdojo/kana-dojo/commit/31b85a5d7c4b323ddeba3b2dc5e7807558710544

Üretici duyuruları

github.com/lingdojo/kana-dojo/releases/tag/v0.1.18

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
lingdojo kana-dojo	v < 0.1.18	0.1.18

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.