CVE-2025-61926

ŚrednieCVSS 4.6

Opublikowano: 09/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Allstar to aplikacja GitHub do ustawiania i egzekwowania polityk bezpieczeństwa. W wersjach przed 4.5 podatność w komponencie Reviewbot powodowała, że przychodzące żądania webhook były walidowane przy użyciu zaszytego na stałe, wspólnego sekretu. Wartość użyta dla tokena sekretnego była skompilowana w binarkę Allstar i nie mogła być skonfigurowana w czasie działania. W praktyce oznaczało to, że każde wdrożenie używające Reviewbot walidowało żądania tym samym sekretem, chyba że operator zmodyfikował kod źródłowy i przebudował komponent - co nie jest udokumentowane i łatwe do przeoczenia. Wszystkie wydania Allstar przed v4.5, które zawierają ścieżkę kodu Reviewbot, są dotknięte. Wdrożenia na v4.5 i nowszych nie są dotknięte. Ci, którzy nie włączyli ani nie wystawili punktu końcowego Reviewbot, nie są narażeni na ten problem.

Ocena ryzyka

Ryzyko obejmuje możliwość, że atakujący, znając wspólny sekret, może wysyłać fałszywe żądania webhook, co może prowadzić do nieautoryzowanych zmian w politykach bezpieczeństwa lub innych działaniach. Ponieważ sekret jest wspólny dla wszystkich wdrożeń, ryzyko jest szerokie.

Rekomendacja

Zaleca się natychmiastowe zaktualizowanie Allstar do wersji 4.5 lub nowszej. Jeśli nie jest to możliwe, należy zmodyfikować kod źródłowy, aby używać konfigurowalnego sekretu, oraz ograniczyć dostęp do punktu końcowego Reviewbot.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Allstar is a GitHub App to set and enforce security policies. In versions prior to 4.5, a vulnerability in Allstar’s Reviewbot component caused inbound webhook requests to be validated against a hard-coded, shared secret. The value used for the secret token was compiled into the Allstar binary and could not be configured at runtime. In practice, this meant that every deployment using Reviewbot would validate requests with the same secret unless the operator modified source code and rebuilt the component - an expectation that is not documented and is easy to miss. All Allstar releases prior to v4.5 that include the Reviewbot code path are affected. Deployments on v4.5 and later are not affected. Those who have not enabled or exposed the Reviewbot endpoint are not exposed to this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS