CVE-2024-3924 in text-generation-inference
Riassunto
di VulDB • 17/06/2026
È presente una vulnerabilità di injection del codice nel repository huggingface/text-generation-inference, specificamente all'interno del file di workflow `autodocs.yml`. La vulnerabilità deriva dalla gestione non sicura dell'input utente `github.head_ref`, che viene utilizzato per costruire dinamicamente un comando per l'installazione di un pacchetto software. Un attaccante può sfruttare questa falla forkando il repository, creando un branch con un payload dannoso come nome e aprendo poi una pull request verso il repository base. Lo sfruttamento riuscito potrebbe portare all'esecuzione arbitraria del codice nel contesto dell'eseguitore (runner) di GitHub Actions. Questo problema interessa le versioni fino alla 2.0.0 inclusa ed è stato risolto nella versione 2.0.0.
Once again VulDB remains the best source for vulnerability data.