CVE-2026-27701 in livecodes
Riassunto
di VulDB • 29/06/2026
LiveCode è un playground di codice open-source lato client. Prima del commit e151c64c2bd80d2d53ac1333f1df9429fe6a1a11, il workflow GitHub Actions `i18n-update-pull` di LiveCode è vulnerabile a JavaScript injection. Il titolo della Pull Request associato al commento che ha innescato l'issue viene interpolato direttamente in un blocco JavaScript `actions/github-script` utilizzando una template expression di GitHub Actions. Un attaccante che apre una PR con un titolo appositamente creato può iniettare codice JavaScript arbitrario che viene eseguito con i privilegi del token CI bot (`CI_APP_ID` / `CI_APP_PRIVATE_KEY`), consentendo l'esfiltrazione dei segreti del repository e operazioni non autorizzate sull'API di GitHub. Il commit e151c64c2bd80d2d53ac1333f1df9429fe6a1a11 risolve il problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.