VDB-318890 · CVE-2025-54594 · GHSA-588g-38p4-gr6x

callstackincubator react-native-bottom-tabs hasta 0.9.2 release-canary.yml escalada de privilegios

CVSS Puntuación meta temporal	Precio actual del exploit (≈)	Puntuación de interés CTI
8.0	$0-$5k	0.00

Resumeninformación

Se ha identificado una vulnerabilidad clasificada como crítica en callstackincubator react-native-bottom-tabs hasta 0.9.2. Se ve afectada una función desconocida del archivo github/workflows/release-canary.yml. La manipulación conduce a escalada de privilegios. Esta vulnerabilidad se conoce como CVE-2025-54594. Se puede ejecutar el ataque remotamente. Ningún exploit está disponible. Se recomienda aplicar un parche para solucionar este problema.

Detallesinformación

Una vulnerabilidad ha sido encontrada en callstackincubator react-native-bottom-tabs hasta 0.9.2 y clasificada como crítica. Una función desconocida del archivo github/workflows/release-canary.yml es afectada por esta vulnerabilidad. Por la manipulación de un input desconocido se causa una vulnerabilidad de clase escalada de privilegios. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad. CVE resume:

react-native-bottom-tabs es una librería de pestañas inferiores nativas para React Native. En las versiones 0.9.2 y anteriores, el flujo de trabajo del repositorio de GitHub Actions, github/workflows/release-canary.yml, utilizaba incorrectamente el desencadenador de eventos pull_request_target, lo que permitía la ejecución de código no confiable de una solicitud de extracción bifurcada en un contexto privilegiado. Un atacante podría crear una solicitud de extracción que contuviera un script de preinstalación malicioso en el archivo package.json y luego activar el flujo de trabajo vulnerable publicando un comentario específico (!canary). Esto permitía la ejecución de código arbitrario, lo que conducía a la exfiltración de secretos sensibles como GITHUB_TOKEN y NPM_TOKEN, y podría haber permitido a un atacante enviar código malicioso al repositorio o publicar paquetes comprometidos en el registro de NPM. Existe un commit de remediación que elimina github/workflows/release-canary.yml, pero aún no se ha publicado una versión con esta corrección.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2025-54594. Es fácil de explotar. El ataque puede ser realizado a través de la red. La explotación no requiere ninguna forma de autentificación. Hay detalles técnicos conocidos, pero no se dispone de un exploit.

Aplicando el parche 9e1c9c61d742c435ac5e0901b7e0c9249b9fc70c es posible eliminar el problema. El parche puede ser descargado de github.com.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Productoinformación

Escribe

JavaScript Library

Proveedor

callstackincubator

Nombre

react-native-bottom-tabs

Versión

Licencia

Código abierto

Sitio web

Producto: https://github.com/callstackincubator/react-native-bottom-tabs/

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 8.2
VulDB Puntuación meta temporal: 8.0

VulDB Puntuación base: 7.3
VulDB Puntuación temporal: 7.0
VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CNA Puntuación base: 9.1
CNA Vector (GitHub_M): 🔒

CVSSv2información

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complejidad	Autenticación	Confidencialidad	Integridad	Disponibilidad
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Puntuación base: 🔒
VulDB Puntuación temporal: 🔒
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Escalada de privilegios
CWE: CWE-269 / CWE-266
CAPEC: 🔒
ATT&CK: 🔒

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔒
Estado: No está definido

EPSS Score: 🔒
EPSS Percentile: 🔒

Predicción de precios: 🔍
Estimación del precio actual: 🔒

0-Day	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Hoy	Desbloquear	Desbloquear	Desbloquear	Desbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Parche
Estado: 🔍

Hora de 0 días: 🔒

Parche: 9e1c9c61d742c435ac5e0901b7e0c9249b9fc70c

Línea de tiempoinformación

2025-07-25 CVE asignado
2025-08-06 +12 días Aviso publicado
2025-08-06 +0 días Entrada de VulDB creada
2025-08-06 +0 días Última actualización de VulDB