PT-2026-4840
CVE-2026-24480
·
تاريخ النشر
2026-01-26
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات QGIS السابقة لـ commit 76a693cd91650f9b4e83edac525e5e4f90d954e9
الوصف
كان مستودع QGIS يحتوي على سير عمل لـ GitHub Actions يُسمى ”pre-commit checks“، والذي كان، قبل الالتزام 76a693cd91650f9b4e83edac525e5e4f90d954e9، عرضة لتنفيذ التعليمات البرمجية عن بُعد واحتمال اختراق المستودع. كان سير العمل يستخدم المشغل
pull request target، مما سمح بسحب (checkout) وتنفيذ كود من طلبات السحب (pull requests) غير الموثوق بها ضمن سياق مميز. وهذا يعني أن سير العمل كان يتم تنفيذه باستخدام بيانات اعتماد مستودع الأساس والوصول إلى الأسرار. كان بإمكان المهاجم تنفيذ أوامر تعسفية بامتيازات عالية من خلال التحكم في الكود داخل طلب السحب. يُعتبر هذا النمط خطرًا أمنيًا من قِبل GitHub والباحثين في مجال الأمن.التوصيات
قم بتحديث مستودع QGIS إلى إصدار يتضمن الالتزام (commit) 76a693cd91650f9b4e83edac525e5e4f90d954e9 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾