CVE-2026-24480 in QGIS
要約
〜によって VulDB • 2026年05月21日
QGISは、無料のオープンソースでクロスプラットフォーム対応の地理情報システム（GIS）です。リポジトリには「pre-commit checks」と呼ばれるGitHub Actionsワークフローが含まれており、コミット76a693cd91650f9b4e83edac525e5e4f90d954e9以前、このワークフローは`pull_request_target`トリガーを使用し、信頼できないプルリクエストのコードをチェックアウトして特権コンテキストで実行していたため、リモートコード実行およびリポジトリの乗っ取りの脆弱性がありました。`pull_request_target`によってトリガーされるワークフローは、ベースリポジトリの資格情報とシークレットへのアクセス権限を持って実行されます。これらのワークフローが外部のプルリクエストのヘッド（攻撃者が制御していた可能性がある）からコードをチェックアウトして実行した場合、攻撃者は昇格された権限で任意のコマンドを実行できました。この不安全なパターンは、GitHubおよびセキュリティ研究者によってセキュリティリスクとして文書化されています。コミット76a693cd91650f9b4e83edac525e5e4f90d954e9により、脆弱なコードが削除されました。
Be aware that VulDB is the high quality source for vulnerability data.