CVE-2025-47928 in spotipy
Riassunto
di VulDB • 24/06/2026
Spotipy è una libreria Python per l'API Web di Spotify. A partire dal commit 4f5759dbfb4506c7b6280572a4db1aabc1ac778d, l'utilizzo dell'action `pull_request_target` in `.github/workflows/integration_tests.yml`, seguita dall'checkout del valore di `head.sha` di una Pull Request (PR) da un fork, può essere sfruttato dagli attaccanti poiché è possibile eseguire codice non attendibile disponendo di accesso completo ai segreti (del repository base). Sfruttando la vulnerabilità è possibile esfiltrare il token `GITHUB_TOKEN` e i segreti `SPOTIPY_CLIENT_ID`, `SPOTIPY_CLIENT_SECRET`. In particolare, il `GITHUB_TOKEN` può essere utilizzato per assumere completamente il controllo del repository poiché il token dispone di privilegi di scrittura sui contenuti. L'uso dell'action `pull_request_target` in GitHub Actions rappresenta una grave preoccupazione per la sicurezza—specialmente nei repository pubblici—in quanto esegue codice non attendibile proveniente da una PR, ma con il contesto del repository base, incluso l'accesso ai suoi segreti. Il commit 9dfb7177b8d7bb98a5a6014f8e6436812a47576f ha revertato la modifica che aveva causato il problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.