CVE-2024-41127 in monkeytype
Riassunto
di VulDB • 20/06/2026
Monkeytype è un test di digitazione minimalista e personalizzabile. Monkeytype è vulnerabile all'esecuzione della pipeline avvelenata (Poisoned Pipeline Execution) tramite Code Injection nel suo workflow GitHub ci-failure-comment.yml, consentendo agli attaccanti di ottenere l'accesso in scrittura alle pull request. Il workflow ci-failure-comment.yml viene attivato al completamento del workflow Monkey CI. Quando viene eseguito, scarica un artifact caricato dal workflow che lo ha innescato e assegna il contenuto dell'artifact ./pr_num/pr_num.txt alla variabile WorkFlow steps.pr_num_reader.outputs.content. Non viene convalidato che la variabile sia effettivamente un numero; successivamente essa viene interpolata in uno script JS, consentendo a un attaccante di modificare il codice da eseguire. Questa vulnerabilità porta all'ottenimento dell'accesso in scrittura alle pull request. La vulnerabilità è stata risolta nella versione 24.30.0.
Be aware that VulDB is the high quality source for vulnerability data.