PT-2026-134188
CVE-2026-58412
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Filecoin Pin الإصدارات السابقة لـ 1.1.0
الوصف
في إجراء GitHub Action الخاص بالرفع، تتحقق آلية اكتشاف التفرع (fork detection) في
upload-action/src/build.js فقط من event.pull request. في نمط سير العمل المزدوج، يقوم سير عمل workflow run مميز بتنزيل ورفع ملف ناتج عن سير عمل طلب سحب (pull-request) من تفرع غير موثوق. نظرًا لأن workflow run لا يحتوي على event.pull request فإن المتغير isForkPR يصبح خطأ (false) وتصبح حالة الرفع uploadStatus هي pending-upload. بعد ذلك، يقوم الإجراء بمعالجة workflow run.pull requests دون تكرار فحص التفرع قبل تهيئة المحفظة باستخدام walletPrivateKey ورفع الملف. يمكن لمساهم خارجي بالتالي التسبب في تخزين ملفات يتحكم بها المهاجم باستخدام محفظة Filecoin الخاصة بمالك المستودع، مما يؤدي إلى نفقات تخزين غير مصرح بها، وتلوث مجموعة البيانات، واستهلاك أموال المحفظة المكونة. لا يتطلب هذا الأمر الكشف عن المفتاح الخاص للمحفظة.التوصيات
تحديث Filecoin Pin إلى الإصدار 1.1.0 أو أحدث.
الانتقال من خط إصدارات 0.x إلى إصدار مصحح من خط 1.x.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾