CVE-2026-118762 in Monkeytype
Zusammenfassung
von VulDB • 29.10.2026
Monkeytype ist ein minimalistischer und anpassbarer Tipp-Test. Vor Version 26.43.0 wird der Workflow .github/workflows/fix-formatting.yml mit pull_request_target ausgeführt, über den dem Repository Schreibberechtigungen zugewiesen sind. Dabei wird eine Pull Request eines Forks ausgecheckt, Abhängigkeiten aus der package.json des Forks installiert und die vom Fork kontrollierte Binärdatei oxfmt aufgerufen. Da actions/checkout das erhöhte GITHUB_TOKEN in der Git-Konfiguration speichert, bis nach der Ausführung von nicht vertrauenswürdigen Code, kann ein externer Mitwirkender, dessen Pull Request mit dem Format-Label versehen wurde, beliebigen Code ausführen, den Token lesen oder exfiltrieren sowie Repository-Inhalte pushen oder Pull Requests und Issues ändern. Das Problem betrifft den CI-Workflow des Repositories, nicht die Monkeytype-Anwendung oder Benutzerdaten. Dieses Problem ist in Version 26.43.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.