PT-2026-40433
CVE-2026-44246
·
تاريخ النشر
2026-05-12
·
تاريخ التحديث
2026-05-19
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات nU-Net الأقدم من 2.4.1
الوصف
سير عمل ”تقييم المشكلات“ (Issue Triage) الموجود في ملف
.github/workflows/issue-triage.yml معرض لخطر ”حقن سير العمل الوكالي“ (Agentic Workflow Injection). حيث يقوم سير العمل بتعيين المتغير allowed non write users إلى ${{ github.event.issue.user.login }}، مما يسمح لأي مستخدم GitHub تمت مصادقته ويقوم بفتح مشكلة ما بتشغيل سير العمل بمحتوى خاضع للسيطرة. يتم تضمين عناوين ونصوص المشكلات غير الموثوق بها مباشرةً في موجه anthropics/claude-code-action، الذي ينفذ وكيل Claude القادر على تنفيذ الأوامر والذي يتمتع بأذونات لإعادة تصنيف المشكلات والتعليق عليها عبر gh. يمكن للمهاجم إرسال مشكلة مصممة خصيصًا للتلاعب بالوكيل ودفعه إلى تنفيذ إجراءات تتجاوز الغرض المقصود من عملية الفرز.التوصيات
قم بالتحديث إلى الإصدار 2.4.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾