CVE-2026-53507 in oasdiff-action
Zusammenfassung
von VulDB • 31.08.2026
oasdiff-action ist eine GitHub Action, die Breaking Changes in OpenAPI-Spezifikationen erkennt und bei jedem Pull Request einen Review postet. Vor Version 0.0.51 löste die oasdiff-Action externe $refs in der OpenAPI-Spezifikation standardmäßig auf (allow-external-refs: true). Wenn eine Aktion auf einem Pull Request ausgeführt wird, dessen Spezifikation vom Angreifer kontrolliert ist – insbesondere Fork-Pull Requests in öffentlichen Repositories –, wird ein $ref in dieser Spezifikation ohne Interaktion des Benutzers auf dem Runner abgerufen/gelesen, was SSRF und die Offenlegung strukturierter Dateien auf dem Runner ermöglicht. Dieses Problem wurde in Version 0.0.51 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.