PT-2024-29282 · Unknown · Monkeytype

Pwntester

·

Publicado

2024-02-17

·

Atualizado

2024-09-11

·

CVE-2024-41127

CVSS v3.1

8.3

Alta

VetorAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Monkeytype anteriores à 24.30.0
Descrição
O problema diz respeito a uma execução de pipeline corrompida por meio de injeção de código no fluxo de trabalho ci-failure-comment.yml do Monkeytype no GitHub. Essa vulnerabilidade permite que invasores obtenham acesso de gravação a pull requests explorando a falta de validação na variável de fluxo de trabalho steps.pr num reader.outputs.content, que posteriormente é interpolada em um script JS. Isso permite que um invasor altere o código a ser executado.
Recomendações
Para versões do Monkeytype anteriores à 24.30.0, atualize para a versão 24.30.0 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao fluxo de trabalho ci-failure-comment.yml para minimizar o risco de exploração. Evite usar a variável steps.pr num reader.outputs.content no fluxo de trabalho afetado até que o problema seja resolvido.

Exploit

Correção

Special Elements Injection

Code Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-41127
GHSA-WCJF-5464-4WQ9

Produtos afetados

Monkeytype