PT-2026-61516
CVE-2026-44359
·
تاريخ النشر
2026-07-19
·
تاريخ التحديث
2026-07-24
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Meshtastic الأقدم من 2.7.21.1370b23
الوصف
يسمح تكوين غير آمن لسير عمل CI/CD في ملف
main matrix.yml بتنفيذ تعليمات برمجية عشوائية. يتم تشغيل سير العمل بواسطة pull request target ويقوم بتنفيذ تعليمات برمجية من فرع (fork) يسيطر عليه المهاجم دون بوابة موافقة. يحدث هذا عندما يتم إرسال طلبات السحب (pull requests) من قبل مستخدمين خارجيين مع author association: NONE. ونظرًا لأن المهام check وbuild وbuild-debian-src تنفذ هذا الكود غير الموثوق به مع إمكانية الوصول إلى أسرار المستودع وأذونات GITHUB TOKEN المرتفعة، يمكن للمهاجم استخراج الأسرار، أو اختراق برامج التشغيل المستضافة ذاتيًا، أو الاستيلاء على المستودع. قد تؤدي هذه الثغرة إلى اختراق سلسلة التوريد من خلال حقن عناصر بناء ضارة.التوصيات
قم بالتحديث إلى الإصدار 2.7.21.1370b23.
كإجراء تخفيفي مؤقت، قم بتعطيل سير عمل
main matrix.yml أو تقييد الوصول إلى طلبات السحب. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾