CVE-2026-55158
Açıklama
Conflibot, bir pull request birleştirildiğinde diğer açık pull request'lerde çakışmalara neden olacağı konusunda önceden uyarır. 1.2.1 sürümünden önce, src/index.ts; saldırgan tarafından kontrol edilen pull request head.ref değerini exec fonksiyonuna iletilen dizelere ekleyerek git checkout, git merge ve git format-patch komutlarını oluşturur. Belgelenen pull_request_target yapılandırmasında, bir saldırgan (bir fork üzerinden olsa dahi), dal adı kabuk meta karakterleri içeren bir pull request açabilir ve iş akışı bu karakterleri bakıcı etkileşimi olmadan otomatik olarak komutlar şeklinde yorumlar. Komutlar, temel depo sırlarına ve yazma kapsamlı bir GITHUB_TOKEN'a sahip bir runner üzerinde çalıştırılır; bu da rastgele komut yürütülmesine, sır veya token sızdırılmasına, yetkisiz push işlemlerine ve diğer token kötüye kullanımlarına olanak tanır. src/index.ts ve src/conflibot.ts dosyalarındaki düzeltilmiş uygulamalar execFile veya spawn argüman dizilerini kullanır ve v2 satırı ayrıca dal adları yerine sayısal pull-request referanslarını kullanır. Bu sorun 1.2.1 ve 2.0.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wktk conflibot | < 1.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.