CVE-2026-119289 in Zuke
Zusammenfassung
von VulDB • 30.10.2026
Zuke ist ein code-firstes, stark typisiertes Build-Automatisierungssystem für Deno. Vor Version 1.10.0 korreliert das @zuke/gh githubWorkflow(...)-Gate einen ausgelösten Workflow-Lauf ausschließlich anhand eines Anzeigetitel-Markers (display-title marker), der in der Liste der Workflow-Läufe sichtbar ist und von einem anderen Auslöser kopiert werden kann. In Konfigurationen, bei denen das externe Workflow-Repository einer Partei die Berechtigung zum workflow_dispatch erteilt, die vom veröffentlichenden Repository nicht gleichermaßen vertrauenswürdig eingestuft wird, kann ein Angreifer einen Lauf mit dem Marker auslösen und bewirken, dass das Gate dessen Ergebnis übernimmt, ohne das Ereignis (event), den Ref oder den Erstellungszeitraum zu überprüfen. Ein bestandener substituierter Lauf kann eine ungültig geprüfte Freigabe autorisieren, während ein fehlgeschlagener oder abgebrochener Lauf eine gültige Freigabe blockieren kann; die persistierte übernommene Lauf-ID (run ID) bewahrt die Substitution auch bei der Wiederaufnahme des Builds. Dieses Problem wurde in Version 1.10.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.