CVE-2025-53546

Krytyczne

Opublikowano: 09/07/2025(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Folo organizuje treści z kanałów w jedną oś czasu. Wykorzystanie pull_request_target w pliku .github/workflows/auto-fix-lint-format-commit.yml może być wykorzystane przez atakujących, ponieważ nieufny kod może być wykonany z pełnym dostępem do sekretów (z repozytorium bazowego).

Ocena ryzyka

Wykorzystanie tej podatności może prowadzić do wykradzenia GITHUB_TOKEN, który ma wysokie uprawnienia, co umożliwia całkowite przejęcie repozytorium.

Rekomendacja

Zaleca się aktualizację do poprawki zawartej w commicie 585c6a591440cd39f92374230ac5d65d7dd23d6a, aby zabezpieczyć się przed tym zagrożeniem.

Oryginalny opis (angielski, źródło NVD)

Folo organizes feeds content into one timeline. Using pull_request_target on .github/workflows/auto-fix-lint-format-commit.yml can be exploited by attackers, since untrusted code can be executed having full access to secrets (from the base repo). By exploiting the vulnerability is possible to exfiltrate GITHUB_TOKEN which has high privileges. GITHUB_TOKEN can be used to completely overtake the repo since the token has content write privileges. This vulnerability is fixed in commit 585c6a591440cd39f92374230ac5d65d7dd23d6a.