CVE-2025-30066
Yüksek CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 8.6
- EPSS
- 69.8%
- CWE
- CWE-506
- KEV Durumu
- Evet
Yayım tarihi: 15 Mart 2025 · CISA KEV son iyileştirme tarihi: 8 Nisan 2025
Etkilenen: tj-actions changed-files
tj-actions changed-files sürüm 46'dan önce, uzaktan saldırganların eylemler günlüklerini okuyarak gizli bilgileri keşfetmesine izin veriyor. (v1'den v45.0.7'ye kadar olan etiketler 2025-03-14 ve 2025-03-15'de etkilenmiştir çünkü bir tehdit aktörü tarafından commit 0e58ed8'e işaret etmesi için değiştirilmişlerdir, bu da kötü amaçlı updateFeatures kodu içeriyordu.)
Orijinal açıklama (İngilizce)
tj-actions changed-files before 46 allows remote attackers to discover secrets by reading actions logs. (The tags v1 through v45.0.7 were affected on 2025-03-14 and 2025-03-15 because they were modified by a threat actor to point at commit 0e58ed8, which contained malicious updateFeatures code.)
Referanslar
- https://blog.gitguardian.com/compromised-tj-actions/
- https://github.com/chains-project/maven-lockfile/pull/1111
- https://github.com/espressif/arduino-esp32/issues/11127
- https://github.com/github/docs/blob/962a1c8dccb8c0f66548b324e5b921b5e4fbc3d6/content/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions.md?plain=1#L191-L193
- https://github.com/modal-labs/modal-examples/issues/1100
- https://github.com/rackerlabs/genestack/pull/903
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.