CVE-2026-24059
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Endpoint GET /api/v1/user/actions/runners/registration-token (oraz odpowiedniki na poziomie właściciela i repozytorium) tworzy nowy token rejestracji runnera, jeśli nie istnieje, ale middleware zakresu API klasyfikuje go jako tylko do odczytu, ponieważ to żądanie GET. Posiadacz wyciekłego tokena z zakresem read:user może więc wygenerować token rejestracji i zarejestrować złośliwego runnera Actions, który wykonuje zadania workflow z dostępem do sekretów repozytorium i kodu źródłowego.
Ocena ryzyka
Atakujący z tokenem read:user może uzyskać pełny dostęp do sekretów repozytorium i kodu źródłowego, co może prowadzić do kradzieży danych lub przejęcia kontroli nad repozytorium.
Rekomendacja
Zmień endpoint tak, aby nie tworzył tokenów rejestracji przy żądaniach GET lub wymagaj wyższego zakresu uprawnień. Dodatkowo ogranicz możliwość rejestracji runnerów tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The GET /api/v1/user/actions/runners/registration-token endpoint (and its owner- and repository-level equivalents) creates a new runner registration token if none exists, yet the API scope middleware classifies it as read-only because it is a GET request. A holder of a leaked read:user-scoped token can therefore mint a registration token and register a malicious Actions runner that executes workflow jobs with access to repository secrets and source code.