Vulnerabilidad en GitHub (CVE-2025-47271)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

12/05/2025

Última modificación:

12/05/2025

Descripción

La acción OZI es una acción de GitHub que publica versiones en PyPI y versiones espejo, paquetes de firmas y procedencia en una versión etiquetada. En las versiones 1.13.2 a 1.13.5, datos potencialmente no confiables fluyen a la lógica de creación de solicitudes de incorporación de cambios (PR). Un agente malicioso podría crear un nombre de rama que inyecte código arbitrario. Esto se solucionó en la versión 1.13.6. Como workaround, se puede actualizar a una versión anterior a la 1.13.2.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.30 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): Unreported

Puntuación base 4.0

6.30

Gravedad 4.0

MEDIA

Vulnerabilidad en GitHub (CVE-2025-47271)

Descripción

Impacto

Referencias a soluciones, herramientas e información