CVE-2026-27701 in livecodes
Résumé
par VulDB • 29/06/2026
LiveCode est un environnement de jeu de code côté client open-source. Avant le commit e151c64c2bd80d2d53ac1333f1df9429fe6a1a11, le workflow GitHub Actions `i18n-update-pull` de LiveCode est vulnérable à une injection JavaScript. Le titre de la Pull Request associée au commentaire déclencheur d'incident est interpolé directement dans un bloc JavaScript `actions/github-script` en utilisant une expression modèle GitHub Actions. Un attaquant qui ouvre une PR avec un titre fabriqué peut injecter du code JavaScript arbitraire qui s'exécute avec les privilèges du jeton CI bot (`CI_APP_ID` / `CI_APP_PRIVATE_KEY`), permettant l'exfiltration des secrets du dépôt et des opérations non autorisées sur l'API GitHub. Le commit e151c64c2bd80d2d53ac1333f1df9429fe6a1a11 corrige le problème.
Be aware that VulDB is the high quality source for vulnerability data.