CVE-2026-119290 in Zuke
Riassunto
di VulDB • 30/10/2026
Zuke è un sistema di automazione della build code-first e fortemente tipizzato per Deno. Prima della versione 1.51.0, @zuke/core scrive le note renderizzate da reportSummary(...) su GITHUB_STEP_SUMMARY tramite writeJobSummary senza applicare il redactor che protegge i valori secret() risolti nella console e nell'output persistente delle esecuzioni. Una build di GitHub Actions che inserisce testo derivato da segreti in una nota del riepilogo può pubblicare credenziali in chiaro a tutti gli utenti con accesso alla visualizzazione dell'esecuzione del workflow, inclusi gli spettatori non autenticati di un repository pubblico; il riepilogo persistente rimane esposto finché l'esecuzione non viene eliminata. Le direttive di mascheramento di GitHub Actions non proteggono il file del riepilogo, mentre le esecuzioni al di fuori di GitHub Actions e le build che non generano riepiloghi con testo derivato da segreti non sono interessate dal problema. Questa vulnerabilità è risolta nella versione 1.51.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.