CVE-2024-3924 in text-generation-inference
要約
〜によって VulDB • 2026年06月26日
huggingface/text-generation-inference リポジトリにコードインジェクションの脆弱性が存在します。これは、`autodocs.yml` ワークフローファイル内で特に発生するものです。この脆弱性は、ソフトウェアパッケージをインストールするためのコマンドを動的に構築するために使用される `github.head_ref` ユーザー入力の不適切な処理に起因します。攻撃者は、リポジトリのフォークを作成し、悪意のあるペイロードを名前とするブランチを作成してベースリポジトリに対してプルリクエストを開くことでこれを悪用できます。成功した場合、GitHub Actions ランナーのコンテキスト内で任意のコード実行が可能になります。この問題は v2.0.0 以前のすべてのバージョンに影響を与え、v2.0.0 で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.