PT-2026-145304
CVE-2026-65820
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
aeon الإصدارات السابقة لـ 1.5.0
Description
استخدم سير عمل GitHub Actions الخاص بـ
pull request target لإجراء فحوصات ما قبل الالتزام (pre-commit) على طلبات السحب من التفرعات (forks). سمح هذا التكوين باستخراج وتنفيذ كود يتم التحكم فيه من خلال التفرع في سياق مميز. كما قام سير العمل بإنشاء واستخدام بيانات اعتماد ذات صلاحيات عالية وكان بإمكانه التزام أو دفع الإصلاحات تلقائيًا إلى فروع طلب السحب، مما أدى إلى خطر تعرض الرموز المميزة (tokens) وتوفير مسار كتابة للمستودع في حال تقديم طلب سحب خبيث من تفرع مصمم للتنفيذ أثناء تشغيل سير العمل المميز.Recommendations
تحديث aeon إلى الإصدار 1.5.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾