CVE-2026-119289 in Zuke
الملخص
بحسب VulDB • 30/10/2026
Zuke هو نظام أتمتة البناء (Build Automation) يعتمد على الكود أولاً ويتميز بكتابة قوية للأنواع، ومصمم لمنصة Deno. قبل الإصدار 1.10.0، تقوم بوابة `githubWorkflow(...)` الخاصة بالمكتبة `@zuke/gh` بمطابقة تشغيل سير العمل المُطلق باستخدام علامة عنوان عرض (display-title) فقط، وهي ظاهرة في قائمة عمليات سير العمل ويمكن نسخها بواسطة مُطلق آخر. في التكوينات التي تمنح مستودع سير العمل الخارجي إذن `workflow_dispatch` لطرف غير موثوق به بنفس القدر من قبل المستودع الذي يُصدر الإصدارات، يمكن للمهاجم إطلاق تشغيل بعلامة العنوان هذه والتسبب في اعتماد البوابة لنتيجته دون التحقق من الحدث أو المرجع (ref) أو نافذة الإنشاء. قد يؤدي التشغيل المُستبدل الناجح إلى تفويض إصدار غير مُتحقق منه، بينما يمكن لتشغيل فاشل أو ملغي حجب إصدار صالح، ويحافظ معرف التشغيل المعتمد والمُخزن على الاستبدال عبر استئناف عملية البناء. تم إصلاح هذه المشكلة في الإصدار 1.10.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.