CVE-2026-34243
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
Narzędzie wenxian w wersjach 0.3.1 i wcześniejszych zawiera podatność na wstrzyknięcie komend w przepływie pracy GitHub Actions. Niezaufane dane wejściowe z issue_comment.body są używane bezpośrednio w komendzie powłoki, co umożliwia potencjalne wykonanie dowolnego kodu na runnerze. W chwili publikacji nie są dostępne żadne publiczne łatki.
Ocena ryzyka
Ryzyko obejmuje przejęcie runnera GitHub Actions, co może prowadzić do kradzieży sekretów repozytorium i modyfikacji artefaktów budowania.
Rekomendacja
Należy zaprzestać używania wenxian do czasu wydania łatki lub tymczasowo wyłączyć przepływ pracy wykorzystujący issue_comment.body.
Oryginalny opis (angielski, źródło NVD)
wenxian is a tool to generate BIBTEX files from given identifiers (DOI, PMID, arXiv ID, or paper title). In versions 0.3.1 and prior, a GitHub Actions workflow uses untrusted user input from issue_comment.body directly inside a shell command, allowing potential command injection and arbitrary code execution on the runner. At time of publication, there are no publicly available patches.