CVE-2026-118762

Nome do Software Vulnerável e Versões Afetadas Monkeytype versões anteriores a 26.43.0

Descrição O fluxo de trabalho .github/workflows/fix-formatting.yml é executado em pull request target com permissões de escrita no repositório. Ele realiza o checkout de um pull request de fork, instala dependências do package.json do fork e invoca o binário oxfmt controlado pelo fork. Como a ação actions/checkout mantém o GITHUB TOKEN elevado na configuração do Git até que o código não confiável seja executado, um contribuidor externo cujo pull request receba a etiqueta de formatação pode executar código arbitrário. Isso permite que o invasor leia ou exfiltre o token, envie conteúdo para o repositório ou modifique pull requests e problemas. Este problema afeta o fluxo de trabalho de CI do repositório, não o aplicativo ou os dados do usuário.

Recomendações Atualizar para a versão 26.43.0.