PT-2026-48540
CVE-2026-47751
·
تاريخ النشر
2026-06-10
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Claude Code Action الأقدم من 1.0.74
الوصف
توجد مشكلة تتمثل في أن الإجراء يقوم بسحب فروع رأس طلب السحب التي يتحكم فيها المهاجم ويقرأ ملف
.mcp.json من دليل العمل. ونظرًا لأن جميع خوادم MCP (بروتوكول سياق النموذج) الخاصة بالمشروع يتم تمكينها دون قيد أو شرط عبر enableAllProjectMcpServers، يمكن للمهاجم تضمين ملف .mcp.json ضار في طلب السحب لتنفيذ تعليمات برمجية تعسفية على مشغل GitHub Actions. قد يؤدي ذلك إلى تسريب أسرار سير العمل، مثل مفاتيح API والرموز المميزة، عندما يقوم مستخدم ذو امتيازات أو مشغل تلقائي باستدعاء الإجراء في طلب السحب.التوصيات
قم بالتحديث إلى الإصدار 1.0.74 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾