CVE-2025-55192

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

HomeAssistant-Tapo-Control، الإصدارات السابقة لـ commit 2a3b80f

الوصف:

احتوى HomeAssistant-Tapo-Control، وهو مكون يتيح التحكم في كاميرات Tapo داخل Home Assistant، على ثغرة أمنية تتعلق بحقن التعليمات البرمجية في سير عمل GitHub Actions الموجود في .github/workflows/issues.yml. نشأت الثغرة الأمنية عن الإدراج المباشر لمحتوى يتحكم فيه المستخدم، مستمد من نص المشكلة (github.event.issue.body)، في تعبير شرطي بلغة Bash دون التعقيم اللازم. وقد سمح ذلك لمستخدم ضار على GitHub بصياغة نص مشكلة قادر على تنفيذ أوامر تعسفية في مشغل GitHub Actions بامتيازات عالية أثناء إنشاء المشكلة. يقتصر التأثير على بيئة CI/CD للمستودع، وقد يؤدي ذلك إلى الكشف المحتمل عن محتوى المستودع أو الأسرار الخاصة بـ GitHub Actions.

التوصيات:

قم بتعطيل سير العمل المتأثر (issues.yml).

استبدل مقارنة Bash غير الآمنة بـ grep آمن بين علامتي اقتباس أو بفحص تعبير نقي من GitHub Actions.

تأكد من استخدام أذونات دنيا في سير العمل (permissions: block) لتقليل التأثير المحتمل.