PT-2024-29282 · Unknown · Monkeytype
Pwntester
·
Publicado
2024-02-17
·
Atualizado
2024-09-11
·
CVE-2024-41127
CVSS v3.1
8.3
Alta
| Vetor | AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Monkeytype anteriores à 24.30.0
Descrição
O problema diz respeito a uma execução de pipeline corrompida por meio de injeção de código no fluxo de trabalho ci-failure-comment.yml do Monkeytype no GitHub. Essa vulnerabilidade permite que invasores obtenham acesso de gravação a pull requests explorando a falta de validação na variável de fluxo de trabalho
steps.pr num reader.outputs.content, que posteriormente é interpolada em um script JS. Isso permite que um invasor altere o código a ser executado.Recomendações
Para versões do Monkeytype anteriores à 24.30.0, atualize para a versão 24.30.0 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao fluxo de trabalho ci-failure-comment.yml para minimizar o risco de exploração. Evite usar a variável
steps.pr num reader.outputs.content no fluxo de trabalho afetado até que o problema seja resolvido.Exploit
Correção
Special Elements Injection
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Monkeytype