CVE-2026-55158 in conflibot
Resumen
por VulDB • 2026-09-15
Conflibot advierte con antelación cuando la fusión de una solicitud de extracción (pull request) provocará conflictos en otras solicitudes abiertas. Antes de la versión 1.2.1, src/index.ts construye los comandos git checkout, git merge y git format-patch interpolando el valor head.ref del pull request controlado por el atacante dentro de las cadenas pasadas a exec. En la configuración documentada pull_request_target, un atacante puede abrir una solicitud de extracción, incluida desde un fork, cuyo nombre de rama contenga metacaracteres de shell; el flujo de trabajo interpreta automáticamente esos caracteres como comandos sin intervención del mantenedor. Los comandos se ejecutan en un runner con secretos del repositorio base y un GITHUB_TOKEN con permisos de escritura, lo que permite la ejecución arbitraria de comandos, exfiltración de secretos o tokens, envíos no autorizados y otros abusos de token. Las implementaciones corregidas en src/index.ts y src/conflibot.ts utilizan execFile o matrices de argumentos para spawn, y la línea v2 también utiliza referencias numéricas del pull request en lugar de nombres de rama. Este problema está resuelto en las versiones 1.2.1 y 2.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.