Vulnerabilidad en QGIS de qgis (CVE-2026-24480)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
27/01/2026
Última modificación:
27/01/2026
Descripción
QGIS es un sistema de información geográfica (SIG) gratuito, de código abierto y multiplataforma. El repositorio contiene un flujo de trabajo de GitHub Actions llamado 'pre-commit checks' que, antes del commit 76a693cd91650f9b4e83edac525e5e4f90d954e9, era vulnerable a la ejecución remota de código y al compromiso del repositorio porque utilizaba el disparador 'pull_request_target' y luego extraía y ejecutaba código de solicitud de extracción no confiable en un contexto privilegiado. Los flujos de trabajo disparados por 'pull_request_target' se ejecutaban con las credenciales del repositorio base y acceso a los secretos. Si estos flujos de trabajo luego extraían y ejecutaban código de la cabecera de una solicitud de extracción externa (que podría haber sido controlado por el atacante), el atacante podría haber ejecutado comandos arbitrarios con privilegios elevados. Este patrón inseguro ha sido documentado como un riesgo de seguridad por GitHub y los investigadores de seguridad. El commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 eliminó el código vulnerable.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA