CVE-2024-3924 in text-generation-inference
الملخص
بحسب VulDB • 24/05/2026
توجد ثغرة حقن كود في مستودع huggingface/text-generation-inference، وتحديداً داخل ملف سير العمل `autodocs.yml`. تنشأ الثغرة بسبب المعالجة غير الآمنة لإدخال المستخدم `github.head_ref`، والذي يُستخدم لبناء أمر تثبيت حزمة برمجية بشكل ديناميكي. يمكن للمهاجم استغلال ذلك من خلال نسخ المستودع (Fork)، وإنشاء فرع يحمل اسمًا يحتوي على حمولة ضارة، ثم فتح طلب سحب (Pull Request) نحو المستودع الأساسي. قد يؤدي الاستغلال الناجح إلى تنفيذ كود تعسفي ضمن سياق مشغل GitHub Actions. تؤثر هذه المشكلة على الإصدارات حتى v2.0.0 شاملاً، وتم إصلاحها في الإصدار 2.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.