PT-2025-17346 · Z80Pack · Z80Pack
CVSS v3.1
8.7
عالية
| المتجه | AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات 1.38 وما قبلها من z80pack
الوصف
تتعلق المشكلة بتسرب معلومات حساسة، وتحديدًا GITHUB TOKEN، في ملف التنفيذ الخاص بسير العمل. ويحدث ذلك لأن ملف سير العمل
makefile-ubuntu.yml يستخدم actions/upload-artifact@v4 لإرسال الأرتيفاكت z80pack-ubuntu، وهو ملف مضغوط (zip) من الدليل الحالي ويتضمن ملف .git/config الذي تم إنشاؤه تلقائيًا والذي يحتوي على GITHUB TOKEN الخاص بالتنفيذ. يمكن للمهاجم استخراج الرمز المميز من الأداة واستخدامه مع واجهة برمجة تطبيقات Github لإرسال كود ضار أو إعادة كتابة عمليات الالتزام الخاصة بالإصدارات في المستودع.التوصيات
بالنسبة للإصدارات 1.38 وما قبلها، قم بالتحديث إلى إصدار يتضمن تصحيح الالتزام bd95916 لمنع الكشف عن GITHUB TOKEN.
كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى ملف سير العمل
makefile-ubuntu.yml حتى يتم حل المشكلة.تجنب استخدام الإجراء
actions/upload-artifact@v4 في ملف سير العمل makefile-ubuntu.yml حتى يتم حل المشكلة.استغلال
إصلاح
Information Disclosure
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Z80Pack