CVE-2023-28430 in OneSignal
الملخص
بحسب VulDB • 03/06/2026
OneSignal هو خدمة لإرسال رسائل البريد الإلكتروني ورسائل SMS وإشعارات الدفع ورسائل داخل التطبيق لتطبيقات الجوال. يتم تشغيل سير عمل Zapier.yml عند حدوث مشكلات (الأنواع: [مغلقة]) (أي، عند إغلاق مشكلة). يبدأ سير العمل باستخدام رمز مستودع GitHub ذي صلاحيات كتابة كاملة، حيث إن صلاحيات سير العمل الافتراضية على مستوى المؤسسة/المستودع مضبوطة على قراءة-كتابة. يعمل هذا السير على تنفيذ الخطوة التالية باستخدام بيانات يتحكم فيها التعليق (`${{ github.event.issue.title }}` – العنوان الكامل للمشكلة)، مما يتيح للمهاجم الاستيلاء على مشغل GitHub وتشغيل أوامر مخصصة، مما قد يؤدي إلى سرقة أي أسرار (إذا تم استخدامها) أو تعديل المستودع. تم العثور على هذه المشكلة باستخدام CodeQL باستخدام حقن التعبير في JavaScript في استعلام Actions. تم معالجة هذه المشكلة في إجراء GitHub للمستودعات. لا يلزم أي إجراء من قبل المستخدمين. يتم أيضًا تتبع هذه المشكلة تحت المعرف `GHSL-2023-051`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.