Vulnerabilidad en GitHub Actions (CVE-2024-3924)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
30/05/2024
Última modificación:
30/05/2024
Descripción
Existe una vulnerabilidad de inyección de código en el repositorio huggingface/text-generation-inference, específicamente dentro del archivo de flujo de trabajo `autodocs.yml`. La vulnerabilidad surge del manejo inseguro de la entrada del usuario `github.head_ref`, que se utiliza para construir dinámicamente un comando para instalar un paquete de software. Un atacante puede aprovechar esto bifurcando el repositorio, creando una rama con una carga útil maliciosa como nombre y luego abriendo una solicitud de extracción al repositorio base. La explotación exitosa podría conducir a la ejecución de código arbitrario dentro del contexto del ejecutor de GitHub Actions. Este problema afecta a las versiones hasta la v2.0.0 incluida y se solucionó en la versión 2.0.0.
Impacto
Puntuación base 3.x
4.40
Gravedad 3.x
MEDIA