CVE-2026-42603

Wysokie

Opublikowano: 11/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

OWASP BLT przed wersją 2.1.2 zawierał podatność, w której plik .github/workflows/pre-commit-fix.yaml używał pull_request_target, co pozwalało na wykonanie kodu z forka atakującego, umożliwiając zdalne wykonanie kodu (RCE) z uprawnieniami do zapisu.

Ocena ryzyka

Organizacje korzystające z OWASP BLT przed wersją 2.1.2 były narażone na ataki, które mogły prowadzić do zdalnego wykonania kodu, co mogło skutkować poważnymi konsekwencjami dla bezpieczeństwa systemów.

Rekomendacja

Zaleca się aktualizację OWASP BLT do wersji 2.1.2 lub nowszej, aby usunąć tę podatność i zabezpieczyć system przed potencjalnymi atakami.

Inne podatności w OWASP BLT

CVE-2026-40316Wysokie
OWASP BLT przed wersją 2.1.1 zawiera podatność RCE w workflow .github/workflows/regenerate-migrations.yml. Wykorzystuje ona wyzwalacz pull_request_target, co pozwala na wykonanie złośliwego kodu w środowisku CI z pełnymi uprawnieniami GITHUB_TOKEN.

Oryginalny opis (angielski, źródło NVD)

OWASP BLT is a QA testing and vulnerability disclosure platform that encompasses websites, apps, git repositories, and more. Prior to 2.1.2, .github/workflows/pre-commit-fix.yaml uses pull_request_target (privileged trigger) but checks out and executes code directly from the attacker's fork, enabling RCE with write permissions. This vulnerability is fixed in 2.1.2.