CVE-2026-44359

Nome do Software Vulnerável e Versões Afetadas Meshtastic versões anteriores a 2.7.21.1370b23

Description Uma configuração insegura de fluxo de trabalho de CI/CD no workflow main matrix.yml permite a execução de código arbitrário. O fluxo de trabalho é acionado por pull request target e executa código de um fork controlado por um invasor sem a necessidade de aprovação. Isso ocorre quando pull requests são enviados por usuários externos com author association: NONE. Como os jobs check, build e build-debian-src executam esse código não confiável com acesso a segredos do repositório e permissões elevadas do GITHUB TOKEN, um invasor pode exfiltrar segredos, comprometer runners auto-hospedados ou assumir o controle do repositório. Essa falha pode levar a um comprometimento da cadeia de suprimentos através da injeção de artefatos de compilação maliciosos.

Recommendations Atualize para a versão 2.7.21.1370b23. Como medida de mitigação temporária, desative o workflow main matrix.yml ou restrinja o acesso a pull requests.