PT-2025-17465 · Adept · Adept
CVSS v2.0
10
حرجة
| المتجه | AV:N/AC:L/Au:N/C:C/I:C/A:C |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Adept السابقة لـ commit a1a41b7
الوصف
تتعلق المشكلة بتعرض GITHUB TOKEN في سير عمل لغة Adept. قبل الالتزام a1a41b7، يستخدم ملف سير العمل remoteBuild.yml actions/upload-artifact@v4 لتحميل الأرتيفاكت mac-standalone، وهو ملف مضغوط (zip) للدليل الحالي ويتضمن ملف .git/config الذي تم إنشاؤه تلقائيًا والذي يحتوي على GITHUB TOKEN الخاص بالتشغيل. وهذا يسمح للمهاجم باستخراج الرمز من الملف واستخدامه مع واجهة برمجة تطبيقات Github (Github API) لدفع كود ضار أو إعادة كتابة عمليات الالتزام بالإصدار في مستودع AdeptLanguage/Adept.
التوصيات
بالنسبة للإصدارات السابقة للالتزام a1a41b7، قم بالتحديث إلى إصدار يتضمن التصحيح من الالتزام a1a41b7 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الإجراء
actions/upload-artifact@v4 في ملف سير العمل remoteBuild.yml حتى يتم تطبيق التصحيح.استغلال
إصلاح
Information Disclosure
Insufficiently Protected Credentials
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Adept