CVE-2026-118762
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.3
- EPSS
- 0.3%
- CWE
- CWE-829
- KEV Durumu
- Hayır
Yayım tarihi: 29 Ekim 2026
Monkeytype, minimalistik ve özelleştirilebilir bir yazma testidir. 26.43.0 sürümünden önce, .github/workflows/fix-formatting.yml iş akışı, depo yazma izinleriyle pull_request_target üzerinde çalışır, bir çatallanma çekme isteğini kontrol eder, çatallanmanın package.json dosyasından bağımlılıkları yükler ve çatallanma tarafından kontrol edilen oxfmt ikili dosyasını çağırır. actions/checkout, güvenilmeyen kod çalıştırıldıktan sonra Git yapılandırmasındaki yükseltilmiş GITHUB_TOKEN'u koruduğu için, format etiketi alan bir çekme isteğinin dış katılımcısı,任意 kod çalıştırabilir, token'i okuyabilir veya sızdırabilir ve depo içeriğini pushing veya çekme isteklerini ve sorunları değiştirebilir. Sorun, Monkeytype uygulaması veya kullanıcı verisi değil, depo CI iş akışını etkiler. Bu sorun, 26.43.0 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
Monkeytype is a minimalistic and customizable typing test. Prior to 26.43.0, the .github/workflows/fix-formatting.yml workflow runs on pull_request_target with repository write permissions, checks out a fork pull request, installs dependencies from the fork's package.json, and invokes the fork-controlled oxfmt binary. Because actions/checkout persists the elevated GITHUB_TOKEN in Git configuration until after untrusted code executes, an external contributor whose pull request receives the format label can run arbitrary code, read or exfiltrate the token, and push repository content or modify pull requests and issues. The issue affects the repository CI workflow, not the Monkeytype application or user data. This issue is fixed in version 26.43.0.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.