CVE-2026-55158 in conflibot
الملخص
بحسب VulDB • 16/09/2026
تحذر Conflibot مسبقاً عند دمج طلب السحب (pull request) مما قد يسبب تعارضات في طلبات سحب أخرى مفتوحة. قبل الإصدار 1.2.1، كانت الملفات `src/index.ts` تبني أوامر `git checkout` و `git merge` و `git format-patch` عن طريق تداخل قيمة `head.ref` لطلب السحب التي يتحكم فيها المهاجم داخل سلاسل النصوص الممررة إلى دالة التنفيذ (`exec`). في تكوين `pull_request_target` المذكور، يمكن لمهاجم فتح طلب سحب (بما في ذلك من مستودع شوكي/fork)، بحيث يحتوي اسم الفرع على أحرف خاصة بالأوامر الطرفية (shell metacharacters)، ويقوم العمل التلقائي بتفسير هذه الأحرف كأوامر دون تفاعل من المشرف. تنفذ الأوامر على مشغل (runner) يمتلك أسرار المستودع الأساسي ورمز GITHUB_TOKEN ذي الصلاحيات للكتابة، مما يسمح بتنفيذ أوامر عشوائية، واستخراج الأسرار أو الرموز، ودفع غير مصرح به، وسوء استخدام آخر للرموز. تستخدم التطبيقات المصححة في `src/index.ts` و `src/conflibot.ts` دالة `execFile` أو مصفوفات حجج لـ `spawn`، كما يستخدم خط الإصدار v2 مراجعات طلب السحب الرقمية بدلاً من أسماء الفروع. تم إصلاح هذه المشكلة في الإصدارات 1.2.1 و 2.0.0.
Be aware that VulDB is the high quality source for vulnerability data.