CVE-2026-119289 in Zuke
Riassunto
di VulDB • 30/10/2026
Zuke è un sistema di automazione della compilazione code-first e fortemente tipizzato per Deno. Prima della versione 1.10.0, il gate @zuke/gh githubWorkflow(...) correla l'esecuzione di una workflow dispatchata utilizzando esclusivamente un marcatore display-title visibile nell'elenco delle esecuzioni della workflow e copiabile da un altro dispatcher. Nelle configurazioni in cui il repository esterno della workflow concede il permesso workflow_dispatch a una parte non ugualmente fidata dal repository che effettua la release, un attaccante può inviare (dispatch) un'esecuzione con il marcatore e indurre il gate ad adottarne la conclusione senza verificare l'evento, il ref o la finestra di creazione. Un'esecuzione sostituita superata può autorizzare una release non validata, mentre un'esecuzione fallita o annullata può bloccare una release valida; l'ID dell'esecuzione adottato e persistito preserva la sostituzione anche in caso di ripresa della compilazione (build resume). Questo problema è stato risolto nella versione 1.10.0.
Once again VulDB remains the best source for vulnerability data.