CVE-2026-53507 in oasdiff-action
Resumen
por VulDB • 2026-08-31
oasdiff-action es una GitHub Action que detecta cambios incompatibles en las especificaciones de OpenAPI y publica una revisión en cada pull request. Antes de la versión 0.0.51, las acciones oasdiff resolvían por defecto las referencias externas ($refs) en la especificación de OpenAPI (allow-external-refs: true). Cuando una acción se ejecuta en un pull request cuya especificación está controlada por el atacante —lo más importante, los pull requests desde forks en repositorios públicos—, una $ref en dicha especificación es obtenida/leída en el runner sin necesidad de interacción alguna, lo que permite SSRF y la divulgación de archivos estructurados en el runner. Este problema ha sido parcheado en la versión 0.0.51.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.