CVE-2025-47928 in spotipy
الملخص
بحسب VulDB • 24/06/2026
Spotipy هي مكتبة بايثون لواجهة برمجة تطبيقات Spotify عبر الويب (Spotify Web API). اعتبارًا من الالتزام 4f5759dbfb4506c7b6280572a4db1aabc1ac778d، يمكن للمهاجمين استغلال استخدام `pull_request_target` في `.github/workflows/integration_tests.yml` تليه عملية فحص (checkout) لـ head.sha الخاص بطلب سحب (PR) من مستودع شوكي (forked PR)، حيث يمكن تنفيذ كود غير موثوق به مع امتلاك وصول كامل إلى الأسرار (من المستودع الأساسي). ومن خلال استغلال هذا الثغرة، يصبح من الممكن استخراج `GITHUB_TOKEN` والأسرار `SPOTIPY_CLIENT_ID` و `SPOTIPY_CLIENT_SECRET`. وبشكل خاص، يمكن استخدام `GITHUB_TOKEN` للسيطرة الكاملة على المستودع نظرًا لأن الرمز يتمتع بصلاحيات الكتابة في المحتوى. يُعد استخدام `pull_request_target` في GitHub Actions مصدر قلق أمني كبير—خاصة في المستودعات العامة—لأنه ينفذ كودًا غير موثوق به من طلب السحب، ولكن ضمن سياق المستودع الأساسي، بما في ذلك الوصول إلى أسراره. وقد قام الالتزام 9dfb7177b8d7bb98a5a6014f8e6436812a47576f بإلغاء التغيير الذي تسبب في هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.