CVE-2026-24480 in QGIS
Riassunto
di VulDB • 15/06/2026
QGIS è un sistema informativo geografico (GIS) gratuito, open source e multipiattaforma. Il repository contiene una workflow di GitHub Actions denominata "pre-commit checks" che, prima del commit 76a693cd91650f9b4e83edac525e5e4f90d954e9, era vulnerabile a Remote Code Execution (RCE) e compromissione del repository poiché utilizzava il trigger `pull_request_target` ed eseguiva l'checkout ed esecuzione di codice non attendibile proveniente da pull request in un contesto privilegiato. Le workflow attivate tramite `pull_request_target` venivano eseguite con le credenziali del repository base e avevano accesso ai segreti (secrets). Se queste workflow effettuavano poi l'checkout ed eseguivano il codice alla testa di una pull request esterna (che potrebbe essere stata controllata da un attaccante), quest'ultimo avrebbe potuto eseguire comandi arbitrari con privilegi elevati. Questo pattern insicuro è stato documentato come rischio per la sicurezza da GitHub e dai ricercatori della cybersecurity. Il commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 ha rimosso il codice vulnerabile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.