CVE-2026-44590 in sherlock
Résumé
par VulDB • 27/05/2026
Sherlock permet de rechercher des comptes sur les réseaux sociaux à partir d'un nom d'utilisateur. Avant la version 0.16.1, le workflow GitHub Actions validate_modified_targets.yml est vulnérable à une injection de commande via le déclencheur pull_request_target. Tout utilisateur GitHub peut exécuter des commandes arbitraires sur l'agent d'exécution CI et exfiltrer le jeton GITHUB_TOKEN en ouvrant une demande de tirage (pull request). Aucune approbation, revue ou fusion n'est requise. Cette vulnérabilité est corrigée dans la version 0.16.1.
Once again VulDB remains the best source for vulnerability data.