CVE-2025-49013

WilderForge (الإصدارات المتأثرة غير محددة)

تم تحديد مشكلة حرجة في منظمة WilderForge، ناجمة عن الاستخدام غير الآمن للمتغيرات التي يتحكم فيها المستخدم، مثل ${{ github.event.review.body }}، مباشرةً داخل سياقات نصوص شل في سير عمل GitHub Actions. يؤدي ذلك إلى حدوث مشكلة حقن كود، مما يسمح لمهاجم خبيث بتنفيذ كود شل تعسفي على مشغل GitHub Actions عند إرسال مراجعة طلب سحب (pull request) تم التلاعب بها. وقد يؤدي ذلك إلى التنفيذ التعسفي للأوامر باستخدام أذونات سير العمل، مما قد يعرض البنية التحتية لـ CI والأسرار ومخرجات البناء للخطر. تؤثر هذه المشكلة على المطورين الذين يديرون مستودعات WilderForge المحددة أو يساهمون فيها، وكذلك المستخدمين الذين يقومون بإنشاء فروع من هذه المستودعات ويعيدون استخدام سير عمل GitHub Actions المتأثرة. لا يتأثر المستخدمون النهائيون للبرنامج والمستخدمون الذين يقومون فقط بتثبيت الإصدارات المُجمَّعة مسبقًا أو الأرتيفاكتات.

كحل مؤقت، يُنصح بتعطيل GitHub Actions في المستودعات المتأثرة أو إزالة سير العمل المتأثر.

قم بتقييد الوصول إلى سير عمل GitHub Actions المعرضة للخطر لتقليل مخاطر الاستغلال.

تجنب استخدام المتغير github.event.review.body في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.

في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية