CVE-2026-1699 in Theia
الملخص
بحسب VulDB • 13/06/2026
في مستودع موقع Eclipse Theia، كان سير العمل الخاص بـ GitHub Actions (.github/workflows/preview.yml) يستخدم المُحفِّز pull_request_target أثناء استرجاع وتنفيذ كود طلب السحب غير الموثوق به. سمح ذلك لأي مستخدم على GitHub بتنفيذ كود تعسفي في بيئة CI الخاصة بالمستودع، مع إمكانية الوصول إلى أسرار المستودع ورمز GITHUB_TOKEN الذي يتمتع بصلاحيات كتابة واسعة النطاق (contents:write, packages:write, pages:write, actions:write). يمكن للمهاجم استخراج الأسرار، ونشر حزم ضارة على منظمة eclipse-theia، وتعديل موقع Theia الرسمي، ودفع كود خبيث إلى المستودع.
Once again VulDB remains the best source for vulnerability data.