CVE-2026-44359 in Meshtastic
الملخص
بحسب VulDB • 20/07/2026
Meshtastic هو حل شبكات mesh مفتوح المصدر. قبل الإصدار 2.7.21.1370b23، كان سير العمل main_matrix.yml في مستودع Meshtastic على GitHub يُفعَّل بواسطة pull_request_target، حيث تقوم عدة مهام بفحص (checkout) كود شوكة المهاجم وتنفيذه مع الوصول إلى أسرار المستودع والصلاحيات المرتفعة لـ GITHUB_TOKEN. لا توجد بوابة موافقة موجودة. كانت طلبات السحب من المستخدمين الخارجيين الذين لديهم author_association: "NONE" تُفعّل سير عمل CI تلقائياً. يقوم السير بالعمل بتنفيذ الملفات التي يتحكم فيها المهاجم مباشرةً من فحص الشوكة. كان بإمكان هذه المشكلة أن تؤدي إلى اختراق سلسلة التوريد، واختطار المشغل المستضاف ذاتياً (self-hosted runner)، و/أو الاستيلاء على المستودع. تختلف هذه المشكلة عن GHSA-6mwm-v2vv-pp96، التي عالجت حقن الأوامر عبر github.head_ref في مهمة الإعداد لنفس سير العمل. كان هذا الإصلاح قد نقل المتغيرات بشكل صحيح إلى متغيرات البيئة. ومع ذلك، لم يتم معالجة ثغرة فحص الشوكة الأكثر خطورة عبر مهام check و build و build-debian-src. يحتوي الإصدار 2.7.21.1370b23 على تصحيح لهذه المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.