CVE-2024-8156

Nome do Software Vulnerável e Versões Afetadas versões do significant-gravitas/autogpt até e incluindo a versão mais recente

Descrição Existe uma vulnerabilidade de injeção de comando devido ao uso inseguro da entrada de usuário não confiável github.head.ref no workflow workflow-checker.yml. Isso permite que um atacante injete comandos arbitrários, podendo resultar em acesso via shell reverso ou roubo de tokens e chaves sensíveis. Um atacante pode explorar essa vulnerabilidade criando um nome de branch contendo um payload malicioso e abrindo um pull request.

Recomendações Para versões até e incluindo a versão mais recente, atualize para uma versão que corrija este problema para prevenir ataques de injeção de comando. Como medida temporária, considere restringir o uso da entrada github.head.ref para minimizar o risco de exploração.