CVE-2026-58502
Açıklama
githubtoplanguages, bir kullanıcının en çok kullandığı GitHub dillerini bir SVG olarak oluşturur. .github/workflows/discord-issue.yml iş akışı, bir sorun açıldığında veya kapatıldığında çalışır ve shell ayrıştırmasından önce github.event.issue.title değerini doğrudan ISSUE_TITLE için olan Bash atamasına yerleştirir. Bu nedenle, shell komut değiştirme söz dizimi içeren bir sorun başlığı, başlık DISCORD_WEBHOOK aracılığıyla gönderilen Discord bildirimine dahil edilmeden önce GitHub Actions runner üzerinde komutlar çalıştırabilir. Başarılı bir istismar, güvenilir bot bildirimlerini manipüle edebilir veya taklit edebilir ve depo izinlerine bağlı olarak Discord webhook sırrını veya diğer iş akışı ortam verilerini ifşa edebilir. Bu sorun 6bf9c3a9cb66c937b9047ca266b3d02f2bb11027 numaralı commit ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gouef githubtoplanguages | < 6bf9c3a9cb66c937b9047ca266b3d02f2bb11027 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.