CVE-2026-119289
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.10.0 bramka @zuke/gh githubWorkflow(...) koreluje uruchomienie workflow jedynie na podstawie znacznika tytułu widocznego na liście uruchomień, który może skopiować inny dyspozytor. W konfiguracjach, gdzie zewnętrzne repozytorium workflow przyznaje uprawnienie workflow_dispatch stronie niezaufanej w równym stopniu, atakujący może wywołać uruchomienie ze znacznikiem i spowodować przyjęcie jego wyniku bez weryfikacji zdarzenia, ref lub okna czasowego.
Ocena ryzyka
Atakujący może autoryzować niezweryfikowane wydanie lub zablokować prawidłowe wydanie, a przyjęty identyfikator uruchomienia utrwala podmianę przy wznowieniu budowania. Prowadzi to do naruszenia integralności procesu wydawniczego.
Rekomendacja
Zaktualizuj Zuke do wersji 1.10.0 lub nowszej. Ogranicz uprawnienia workflow_dispatch w zewnętrznych repozytoriach do zaufanych stron.
Inne podatności w Zuke
Zobacz wszystkie- CVE-2026-119290Wysokie
Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core zapisuje notatki reportSummary(...) do GITHUB_STEP_SUMMARY przez writeJobSummary bez stosowania redaktora chroniącego wartości secret(). Budowanie GitHub Actions, które umieszcza tekst pochodzący z sekretów w notatce podsumowania, może ujawnić poświadczenia w postaci jawnej wszystkim mogącym zobaczyć uruchomienie workflow.
- CVE-2026-119288Wysokie
Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core uruchamia rozwiązane shimy Windows .cmd i .bat, poprzedzając je cmd /c, co powoduje ponowne parsowanie wiersza poleceń przez cmd.exe zgodnie z regułami cytowania C-runtime. Budowanie na Windows, które rozwiązuje narzędzie z node_modules/.bin i przekazuje tekst pod wpływem atakującego zawierający niecytowany znak &, | lub ^, może wykonać dodatkowe polecenie wybrane przez atakującego w kontekście budowania z dostępem do jego poświadczeń.
- CVE-2026-119287Wysokie
Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 tryb rejestru MCP @zuke/core akceptuje deskryptory rejestru w formie poleceń bez stosowania autoryzacji ZUKE_REGISTRY_LAUNCH_HOSTS wymaganej dla zdalnych deskryptorów modułów. Gdy zuke mcp --registry --allow-run czyta rejestr zapisywalny przez inną stronę, a wywołujący z uprawnieniami uruchamiania wywoła dotknięte narzędzie, piszący do rejestru może wybrać program i argumenty wykonywane ze środowiskiem i dostępem do obszaru roboczego operatora.
Oryginalny opis (angielski, źródło NVD)
Zuke is a code-first, strongly typed build automation system for Deno. Prior to 1.10.0, the @zuke/gh githubWorkflow(...) gate correlates a dispatched workflow run using only a display-title marker that is visible in the workflow run list and can be copied by another dispatcher. In configurations where the external workflow repository grants workflow_dispatch permission to a party not equally trusted by the releasing repository, an attacker can dispatch a run with the marker and cause the gate to adopt its conclusion without verifying the event, ref, or creation window. A passing substituted run can authorize an unvalidated release, while a failed or cancelled run can block a valid release, and the persisted adopted run ID preserves the substitution across build resume. This issue is fixed in version 1.10.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS