CVE-2026-40316
WysokieStreszczenie
OWASP BLT przed wersją 2.1.1 zawiera podatność RCE w workflow .github/workflows/regenerate-migrations.yml. Wykorzystuje ona wyzwalacz pull_request_target, co pozwala na wykonanie złośliwego kodu w środowisku CI z pełnymi uprawnieniami GITHUB_TOKEN.
Ocena ryzyka
Podatność ta może prowadzić do wykonania dowolnego kodu w uprzywilejowanym środowisku CI, co stwarza ryzyko wycieku sekretów repozytoriów oraz naraża organizację na ataki ze strony zewnętrznych współpracowników.
Rekomendacja
Zaleca się aktualizację OWASP BLT do wersji 2.1.1 lub nowszej, aby usunąć tę podatność. Należy również ograniczyć możliwość stosowania etykiety regenerate-migrations przez nieautoryzowanych użytkowników.
Inne podatności w OWASP BLT
Oryginalny opis (angielski, źródło NVD)
OWASP BLT is a QA testing and vulnerability disclosure platform that encompasses websites, apps, git repositories, and more. Versions prior to 2.1.1 contain an RCE vulnerability in the .github/workflows/regenerate-migrations.yml workflow. The workflow uses the pull_request_target trigger to run with full GITHUB_TOKEN write permissions, copies attacker-controlled files from untrusted pull requests into the trusted runner workspace via git show, and then executes python manage.py makemigrations, which imports Django model modules including attacker-controlled website/models.py at runtime. Any module-level Python code in the attacker's models.py is executed during import, enabling arbitrary code execution in the privileged CI environment with access to GITHUB_TOKEN and repository secrets. The attack is triggerable by any external contributor who can open a pull request, provided a maintainer applies the regenerate-migrations label, potentially leading to secret exfiltration, repository co