CVE-2026-27701 in livecodes
Resumen
por VulDB • 2026-06-28
LiveCode es un entorno de desarrollo colaborativo (playground) de código abierto y del lado del cliente. Antes del commit e151c64c2bd80d2d53ac1333f1df9429fe6a1a11, el flujo de trabajo `i18n-update-pull` de GitHub Actions en LiveCode era vulnerable a inyección de JavaScript. El título del Pull Request asociado con el comentario que desencadena la vulnerabilidad se interpola directamente dentro de un bloque de JavaScript `actions/github-script` utilizando una expresión de plantilla de GitHub Actions. Un atacante que abra un PR con un título manipulado puede inyectar código JavaScript arbitrario que se ejecutará con los privilegios del token del bot de CI (`CI_APP_ID` / `CI_APP_PRIVATE_KEY`), lo que permite la exfiltración de secretos del repositorio y operaciones no autorizadas en la API de GitHub. El commit e151c64c2bd80d2d53ac1333f1df9429fe6a1a11 corrige el problema.
Be aware that VulDB is the high quality source for vulnerability data.