CVE-2026-31900 in black
要約
〜によって VulDB • 2026年06月30日
Blackは妥協のないPythonコードフォーマッターです。Blackには、コードのフォーマットを行うためのGitHubアクションが用意されています。このアクションでは、`use_pyproject: true`オプションを使用して、リポジトリ内のpyproject.tomlから使用するBlackのバージョンを読み込むことができます。悪意のあるプルリクエストによってpyproject.tomlが改ざんされ、攻撃者の管理するリポジトリを指す直接URL参照に書き換えられると、GitHubアクションの実行コンテキスト内で任意のコード実行（Arbitrary Code Execution）を引き起こす可能性があります。これにより、攻撃者はアクションのコンテキストで利用可能なシークレットや権限へのアクセスを取得できる恐れがあります。この脆弱性はバージョン26.3.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.