CVE-2026-44359
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Repozytorium GitHub Meshtastic przed wersją 2.7.21.1370b23 ma podatność w workflow main_matrix.yml, który jest wyzwalany przez pull_request_target. Wiele zadań sprawdza kod atakującego z forka i wykonuje go z dostępem do sekretów repozytorium oraz podwyższonymi uprawnieniami GITHUB_TOKEN. Nie ma bramki zatwierdzającej. Pull requesty od zewnętrznych użytkowników z author_association: "NONE" automatycznie uruchamiały CI. Workflow bezpośrednio wykonuje pliki kontrolowane przez atakującego z forka. Problem ten mógł prowadzić do kompromitacji łańcucha dostaw, przejęcia runnerów lub repozytorium. Poprawka w wersji 2.7.21.1370b23.
Ocena ryzyka
Atakujący może przejąć repozytorium Meshtastic, skompromitować łańcuch dostaw oprogramowania lub uzyskać dostęp do sekretów, co ma krytyczny wpływ na bezpieczeństwo projektu.
Rekomendacja
Należy natychmiast zaktualizować Meshtastic do wersji 2.7.21.1370b23 lub nowszej oraz przejrzeć konfigurację CI/CD, aby uniemożliwić automatyczne uruchamianie workflowów z forków zewnętrznych.
Oryginalny opis (angielski, źródło NVD)
Meshtastic is an open source mesh networking solution. Prior to version 2.7.21.1370b23, the Meshtastic GitHub repository's main_matrix.yml workflow is triggered by pull_request_target and multiple jobs check out the attacker's fork code and execute it with access to repository secrets and elevated GITHUB_TOKEN permissions. No approval gate exists. Pull requests from external users with author_association: "NONE" triggered the CI workflow automatically. The workflow directly executes attacker-controlled files from the fork checkout. This issue could have resulted in supply chain compromise, self-hosted runner compromise, and/or repository takeover for the repo. This issue is separate from GHSA-6mwm-v2vv-pp96, which addressed a command injection via github.head_ref in the setup job of the same workflow. That fix correctly moved to environment variables. However, the more critical fork checkout vulnerability across the check, build, and build-debian-src jobs was not addressed. Version 2.7.21.1370b23 contains a patch for thie issue.