PT-2026-61516 · Unknown · Meshtastic
CVE-2026-44359
·
Publicado
2026-07-19
·
Atualizado
2026-07-20
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Meshtastic versões anteriores a 2.7.21.1370b23
Description
O fluxo de trabalho
main matrix.yml no repositório GitHub é acionado por pull request target, permitindo que múltiplos jobs façam o checkout e executem código de um fork de um invasor. Este processo ocorre sem um portão de aprovação, o que significa que pull requests de usuários externos com author association: "NONE" acionam o fluxo de trabalho de CI automaticamente. O fluxo de trabalho executa arquivos controlados pelo invasor, concedendo acesso a segredos do repositório e permissões elevadas do GITHUB TOKEN. Esta falha poderia resultar em comprometimento da cadeia de suprimentos, comprometimento de runners auto-hospedados ou a tomada total de controle do repositório.Recommendations
Atualize para a versão 2.7.21.1370b23.
Como mitigação temporária, desative o fluxo de trabalho
main matrix.yml ou restrinja o acesso a pull requests.Exploit
Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Meshtastic