CVE-2026-94620

Classroom 50, programlama ödevlerini GitHub üzerinden yönetmek ve puanlamak için kullanılan ücretsiz ve açık kaynaklı bir araçtır. Versiyon 1.11.0 öncesinde, `gh teacher download` her öğrencinin ödev deposunu klonlar ve ardından otomatik puanlama artefaktlarını (`result.json` ve `results.json`) yeni klonlanan çalışma ağacına yazar. Yazma işlemi sembolik bağlantıları (symlink) takip ettiği için, `result.json` veya `results.json` dosyasını bir **symlink** olarak gönderen bir öğrenci (`git clone` tarafından olduğu gibi oluşturulur), öğretmenin yazma işlemini rastgele bir yola yönlendirebilir; örneğin `~/.zshrc`, `~/.ssh/authorized_keys`, bir cron dosyası veya git'in daha sonra çalıştırdığı klon içindeki bir `.git/hooks/*` dosyasına. Yazılan baytlar saldırgan kontrolündedir (`result.json` için öğrencinin yüklediği sürüm varlığı; `results.json` için öğrenci tarafından seçilen gönderim etiketi adları). Bu durum, `gh` belirteci tüm sınıf organizasyonu genelinde `admin:org`, `repo` ve `workflow` yetkilerine sahip olan öğretmen kimliğiyle kod çalıştırılmasına yol açan rastgele bir dosya yazma zafiyetidir. Versiyon 1.11.0 bir yama içermektedir. Bazı geçici çözümler mevcuttur. Güvenilmeyen öğrenci depolarına karşı `gh teacher download` komutunu çalıştırmaktan kaçının veya bu komutu hassas ana bilgisayar dosyalarına veya kimlik bilgilerine erişimi olmayan tek kullanımlık bir sandbox / konteyner içinde çalıştırın. Artefakt yenileme adımının çalışmasına izin vermeden önce, klonlanan ağaçları sembolik bağlantılı, sert bağlantılı veya özel (`result.json`/`results.json`) girişler açısından inceleyin.