Jackhac

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Wazuh الإصدار 4.12.0 **الوصف** يوجد في الإصدار 4.12.0 من Wazuh مشكلة تسمح باستخراج `GITHUB TOKEN` من الملفات التي تم تحميلها في سير عمل GitHub Actions. وهذا يتيح للمهاجمين إمكانية تنفيذ إجراءات غير مصرح بها، مثل إرسال التزامات برمجية ضارة أو تغيير علامات الإصدار، خلال فترة زمنية محدودة. **التوصيات** في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات phpgt/Dom الأقدم من 4.1.8 **الوصف** تؤدي هذه الثغرة الأمنية إلى الكشف عن GITHUB TOKEN في أداة تنفيذ سير العمل Dom. ويحدث ذلك لأن ملف سير العمل ci.yml يستخدم actions/upload-artifact@v4 لتحميل أداة البناء، وهي ملف مضغوط (zip) للدليل الحالي ويتضمن ملف .git/config الذي تم إنشاؤه تلقائيًا والذي يحتوي على GITHUB TOKEN الخاص بالتنفيذ. يمكن للمهاجم استخراج الرمز المميز من الأداة واستخدامه مع واجهة برمجة تطبيقات GitHub (GitHub API) لإجراء عملية دفع (push) لرمز ضار أو إعادة كتابة عمليات التسليم (commits) الخاصة بالإصدار في المستودع. الرمز المميز صالح فقط طوال مدة تنفيذ سير العمل، مما يحد من الفترة الزمنية التي يمكن خلالها استغلال الثغرة. قد يتأثر المستخدمون في المراحل اللاحقة من المستودع. **التوصيات** بالنسبة للإصدارات الأقدم من 4.1.8، قم بالتحديث إلى الإصدار 4.1.8 لإصلاح الثغرة الأمنية. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الإجراء `actions/upload-artifact@v4` في ملف سير العمل ci.yml حتى يتم تطبيق التحديث. تجنب استخدام `GITHUB TOKEN` في سير العمل المتأثر حتى يتم حل الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Adept السابقة لـ commit a1a41b7 **الوصف** تتعلق المشكلة بتعرض GITHUB TOKEN في سير عمل لغة Adept. قبل الالتزام a1a41b7، يستخدم ملف سير العمل remoteBuild.yml actions/upload-artifact@v4 لتحميل الأرتيفاكت mac-standalone، وهو ملف مضغوط (zip) للدليل الحالي ويتضمن ملف .git/config الذي تم إنشاؤه تلقائيًا والذي يحتوي على GITHUB TOKEN الخاص بالتشغيل. وهذا يسمح للمهاجم باستخراج الرمز من الملف واستخدامه مع واجهة برمجة تطبيقات Github (Github API) لدفع كود ضار أو إعادة كتابة عمليات الالتزام بالإصدار في مستودع AdeptLanguage/Adept. **التوصيات** بالنسبة للإصدارات السابقة للالتزام a1a41b7، قم بالتحديث إلى إصدار يتضمن التصحيح من الالتزام a1a41b7 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الإجراء `actions/upload-artifact@v4` في ملف سير العمل remoteBuild.yml حتى يتم تطبيق التصحيح.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** الإصدارات 1.38 وما قبلها من z80pack **الوصف** تتعلق المشكلة بتسرب معلومات حساسة، وتحديدًا GITHUB TOKEN، في ملف التنفيذ الخاص بسير العمل. ويحدث ذلك لأن ملف سير العمل `makefile-ubuntu.yml` يستخدم `actions/upload-artifact@v4` لإرسال الأرتيفاكت `z80pack-ubuntu`، وهو ملف مضغوط (zip) من الدليل الحالي ويتضمن ملف `.git/config` الذي تم إنشاؤه تلقائيًا والذي يحتوي على GITHUB TOKEN الخاص بالتنفيذ. يمكن للمهاجم استخراج الرمز المميز من الأداة واستخدامه مع واجهة برمجة تطبيقات Github لإرسال كود ضار أو إعادة كتابة عمليات الالتزام الخاصة بالإصدارات في المستودع. **التوصيات** بالنسبة للإصدارات 1.38 وما قبلها، قم بالتحديث إلى إصدار يتضمن تصحيح الالتزام bd95916 لمنع الكشف عن GITHUB TOKEN. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى ملف سير العمل `makefile-ubuntu.yml` حتى يتم حل المشكلة. تجنب استخدام الإجراء `actions/upload-artifact@v4` في ملف سير العمل `makefile-ubuntu.yml` حتى يتم حل المشكلة.