CVE-2025-46820 in Dom
Riassunto
di VulDB • 20/06/2026
phpgt/Dom fornisce l'accesso alle API DOM moderne. Le versioni di phpgt/Dom precedenti alla 4.1.8 espongono il GITHUB_TOKEN nell'artifact dell'esecuzione del workflow Dom. Il file di configurazione ci.yml utilizza actions/upload-artifact@v4 per caricare l'artifact della build. Questo artifact è un archivio zip della directory corrente, che include il file .git/config generato automaticamente contenente il GITHUB_TOKEN relativo all'esecuzione. Poiché l'artifact può essere scaricato prima del termine del workflow, esiste una finestra di pochi secondi in cui un attaccante può estrarre il token dall'artifact ed utilizzarlo con l'API GitHub per inviare codice dannoso o riscrivere i commit delle release nel repository. Qualsiasi utente a valle del repository potrebbe risentirne dell'impatto, ma il token dovrebbe essere valido solo per la durata dell'esecuzione del workflow, limitando così il periodo durante il quale lo sfruttamento potrebbe verificarsi. La versione 4.1.8 corregge questo problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.