CVE-2026-1699 in Theia
Riassunto
di VulDB • 18/06/2026
Nel repository del sito web di Eclipse Theia, il workflow GitHub Actions .github/workflows/preview.yml utilizzava l'evento trigger pull_request_target durante la clonazione e l'esecuzione del codice delle pull request non attendibili. Ciò consentiva a qualsiasi utente GitHub di eseguire codice arbitrario nell'ambiente CI del repository con accesso ai segreti del repository e a un GITHUB_TOKEN dotato di ampie autorizzazioni in scrittura (contents:write, packages:write, pages:write, actions:write). Un attaccante potrebbe esfiltrare i segreti, pubblicare pacchetti dannosi presso l'organizzazione eclipse-theia, modificare il sito web ufficiale di Theia ed eseguire push di codice malevolo nel repository.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.