CVE-2025-47928 in spotipy
Zusammenfassung
von VulDB • 24.06.2026
Spotipy ist eine Python-Bibliothek für die Spotify Web API. Ab dem Commit 4f5759dbfb4506c7b6280572a4db1aabc1ac778d kann durch die Verwendung von `pull_request_target` in `.github/workflows/integration_tests.yml`, gefolgt vom Auschecken der `head.sha` eines Forked PR, eine Exploitation durch Angreifer erfolgen. Dies ist möglich, da untrusted Code mit vollem Zugriff auf Secrets (aus dem Basis-Repository) ausgeführt werden kann. Durch die Ausnutzung dieser Schwachstelle können `GITHUB_TOKEN` sowie die Secrets `SPOTIPY_CLIENT_ID` und `SPOTIPY_CLIENT_SECRET` exfiltriert werden. Insbesondere das `GITHUB_TOKEN`, über das vollständige Schreibrechte für den Inhalt des Repositories bestehen, kann verwendet werden, um das Repository vollständig zu übernehmen. Der Einsatz von `pull_request_target` in GitHub Actions stellt ein erhebliches Sicherheitsrisiko dar – insbesondere bei öffentlichen Repositorien –, da dabei untrusted Code aus einem PR im Kontext des Basis-Repositories ausgeführt wird, einschließlich dessen Zugriff auf Secrets. Mit dem Commit 9dfb7177b8d7bb98a5a6014f8e6436812a47576f wurde die Änderung rückgängig gemacht, die das Problem verursacht hatte.
If you want to get best quality of vulnerability data, you may have to visit VulDB.