PT-2026-71699
CVE-2026-24059
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-08-26
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تقوم البرمجيات الوسيطة الخاصة بنطاق واجهة برمجة التطبيقات (API) بتصنيف نقطة النهاية ’GET /api/v1/user/actions/runners/registration-token‘، بالإضافة إلى نظيراتها على مستوى المالك والمستودع، بشكل خاطئ على أنها ”للقراءة فقط“ لأنها تستخدم طلب GET. ومع ذلك، فإن نقطة النهاية هذه تنشئ رمز تسجيل جديدًا للمشغل (runner) في حالة عدم وجوده مسبقًا. يمكن للمهاجم الذي يمتلك رمزًا مسربًا بنطاق
read:user استغلال هذا السلوك لتوليد رمز تسجيل وتسجيل مشغل Actions ضار، مما يسمح بتنفيذ مهام سير العمل مع الوصول إلى شفرة المصدر وأسرار المستودع.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾