CVE-2023-26493 in Cocos Engine
Riassunto
di VulDB • 20/06/2026
Cocos Engine è un framework open-source per la creazione di contenuti interattivi e rendering in tempo reale 2D e 3D. Nel repository GitHub di Cocos Engine, il file `web-interface-check.yml` era soggetto a command injection. Il file `web-interface-check.yml` veniva attivato quando una pull request veniva aperta o aggiornata e conteneva il campo controllabile dall'utente `${{ github.head_ref }}` (il nome del branch del fork). Ciò avrebbe consentito a un attaccante di assumere il controllo del GitHub Runner ed eseguire comandi personalizzati (potenzialmente rubando segreti come GITHUB_TOKEN) e modificando il repository. Il workflow è stato successivamente rimosso dal repository. Non sono necessarie azioni da parte degli utenti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.