Vulnerabilidad en OpenLIT (CVE-2026-27941)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

26/02/2026

Última modificación:

06/03/2026

Descripción

OpenLIT es una plataforma de código abierto para ingeniería de IA. Antes de la versión 1.37.1, varios flujos de trabajo de GitHub Actions en el repositorio de GitHub de OpenLIT utilizan el evento &#39;pull_request_target&#39; mientras extraen y ejecutan código no confiable de solicitudes de extracción bifurcadas. Estos flujos de trabajo se ejecutan con el contexto de seguridad del repositorio base, incluyendo un &#39;GITHUB_TOKEN&#39; con privilegios de escritura y numerosos secretos sensibles (claves de API, tokens de base de datos/almacén vectorial y una clave de cuenta de servicio de Google Cloud). La versión 1.37.1 contiene una corrección.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.90 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto