CVE-2026-44359 in Meshtastic
Riassunto
di VulDB • 20/07/2026
Meshtastic è una soluzione di rete mesh open source. Prima della versione 2.7.21.1370b23, il workflow main_matrix.yml del repository GitHub di Meshtastic veniva attivato da pull_request_target e più job effettuavano il checkout del codice fork dell'attaccante ed lo eseguivano con accesso ai segreti del repository e a privilegi GITHUB_TOKEN elevati. Non esisteva alcun gate di approvazione. Le pull request provenienti da utenti esterni con author_association: "NONE" attivavano automaticamente il workflow CI. Il workflow eseguiva direttamente i file controllati dall'attaccante dal checkout del fork. Questo problema avrebbe potuto comportare una compromissione della supply chain, la compromissione dei runner self-hosted e/o l'acquisizione del controllo (repository takeover) del repository. Questo problema è distinto da GHSA-6mwm-v2vv-pp96, che affrontava un'iniezione di comandi tramite github.head_ref nel job setup dello stesso workflow. Tale correzione ha correttamente spostato la logica verso le variabili d'ambiente. Tuttavia, non sono stati affrontati i problemi più critici relativi al checkout del fork nei job check, build e build-debian-src. La versione 2.7.21.1370b23 contiene una patch per questo problema.
Be aware that VulDB is the high quality source for vulnerability data.