PT-2025-14557
CVE-2025-31479
·
تاريخ النشر
2025-04-02
·
تاريخ التحديث
2025-04-05
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:H/PR:L/UI:N/S:C/C:N/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
canonical/get-workflow-version-action الإصدارات الأقدم من 1.0.1
الوصف
تتعلق المشكلة بعملية مركبة على GitHub قد تتضمن GITHUB TOKEN في إخراج الاستثناء في حالة فشل الخطوة get-workflow-version-action. على الرغم من أن GitHub يخفي الرمز الكامل تلقائيًا من السجلات، إلا أن رمزًا مقطوعًا قد يظهر في نص عادي، مما يشكل خطرًا. يمكن لأي شخص لديه حق الوصول للقراءة إلى المستودع الاطلاع على سجلات الأخطاء هذه، وفي حالة المستودعات العامة، يكون هذا الوصول غير مقيد. تقتصر فترة الاستغلال على الفترة بين ظهور الرمز في سجلات الأخطاء وانتهاء المهمة، وبعد ذلك يتم إلغاء GITHUB TOKEN تلقائيًا.
التوصيات
بالنسبة للإصدارات الأقدم من 1.0.1، قم بالتحديث إلى الإصدار 1.0.1 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى سجلات GitHub Actions لتقليل مخاطر تعرض الرمز إلى الحد الأدنى.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾