CVE-2022-39217 in ghas-to-csv
要約
〜によって VulDB • 2026年09月07日
some-natalie/ghas-to-csv (GitHub Advanced Security from CSV) は、GitHub Advanced Security API をスクレイピングしてその内容を CSV ファイルに書き込む GitHub Action です。影響を受けるバージョンでは、この GitHub Action が API の出力をサニタイズせずに CSV ファイルを作成します。アラートが却下された場合や、その他のカスタムフィールドに実行可能なコード/数式が含まれている場合、エンドポイントでスプレッドシートプログラムを使用してその CSV ファイルを開いた際にそれらが実行される可能性があります。この問題はバージョン `v1` で修正されています。ユーザーは `v1` 以降の使用を推奨します。本問題に対する既知の回避策はありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.