PT-2026-141142
CVE-2026-102289
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 4.0
7.0
عاليةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H
اسم البرنامج المصاب والإصدارات المتأثرة
zizmor الإصدار 1.27.0
Description
تقوم سجلات تصحيح الأخطاء بتسلسل تكوين التطبيق الذي تم تحليله، مما يؤدي إلى كتابة بيانات اعتماد GitHub في stderr بنص واضح. يحدث هذا عند تقديم الرموز (tokens) عبر متغيرات البيئة
GH TOKEN أو GITHUB TOKEN أو ZIZMOR GITHUB TOKEN أو خيارات سطر الأوامر --gh-token أو --github-token أو --zizmor-github-token. يتم تفعيل التسجيل المتأثر عند استخدام الخيارات -v أو --verbose أو توجيه RUST LOG مناسب أثناء التشغيل المباشر العادي أو عند استخدام --no-online-audits. إذا تمكن طرف آخر من الوصول إلى سجلات CI أو ملفات الدعم أو لقطات الشاشة للطرفية أو تقارير الأخطاء العامة التي تحتوي على هذه المخرجات، فيمكنه استخدام بيانات الاعتماد وفقًا لنطاقات وصلاحيات الرمز.Recommendations
تحديث zizmor إلى الإصدار 1.28.0.
كإجراء مؤقت، تجنب استخدام الخيارات
-v أو --verbose وتوجيه RUST LOG عند تقديم بيانات اعتماد GitHub.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾