GHSA-mqpr-49jj-32rc
ŚrednieStreszczenie
Podatność pozwala atakującemu, który zna adres URL webhooka, na wysyłanie niesigned POST requestów, co może uruchomić workflow z dowolnymi danymi. Węzeł nie zaimplementował weryfikacji podpisu HMAC-SHA256, co jest wymagane przez GitHub do autoryzacji dostarczania webhooków.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane uruchamianie procesów, co może prowadzić do nieprzewidzianych działań w systemie. Potencjalne wykorzystanie tej podatności może skutkować utratą danych lub naruszeniem bezpieczeństwa.
Rekomendacja
Zaleca się implementację weryfikacji podpisu HMAC-SHA256 dla webhooków, aby zapewnić autoryzację dostarczania. Należy również monitorować i ograniczać dostęp do adresów URL webhooków.
Oryginalny opis (angielski, źródło NVD)
## Impact An attacker who knows the webhook URL of a workflow using the GitHub Webhook Trigger node could send unsigned POST requests and trigger the workflow with arbitrary data. The node did not implement the HMAC-SHA256 signature verification that GitHub provides to authenticate webhook deliverie