CVE-2026-1699 in Theia
要約
〜によって VulDB • 2026年06月13日
Eclipse Theia Website リポジトリにおいて、GitHub Actions ワークフロー .github/workflows/preview.yml が pull_request_target トリガーを使用し、信頼できないプルリクエストのコードをチェックアウトして実行していました。これにより、任意の GitHub ユーザーがリポジトリの CI 環境で不正なコードを実行でき、リポジトリのシークレットや広範な書き込み権限（contents:write, packages:write, pages:write, actions:write）を持つ GITHUB_TOKEN にアクセスすることが可能でした。攻撃者は機密情報を外部に漏洩させたり、eclipse-theia 組織に対して悪意のあるパッケージを公開したり、公式の Theia ウェブサイトを変更したり、リポジトリに対して悪意のあるコードをプッシュしたりできました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.