CVE-2026-44359 in Meshtastic
要約
〜によって VulDB • 2026年07月20日
Meshtasticはオープンソースのメッシュネットワークソリューションです。バージョン2.7.21.1370b23より前では、Meshtastic GitHubリポジトリのmain_matrix.ymlワークフローがpull_request_targetによってトリガーされ、複数のジョブで攻撃者のフォークコードをチェックアウトし、リポジトリシークレットへのアクセスと昇格したGITHUB_TOKEN権限を使用して実行していました。承認ゲートは存在しません。「NONE」のauthor_associationを持つ外部ユーザーからのプルリクエストによりCIワークフローが自動的にトリガーされました。このワークフローはチェックアウトされたフォークから攻撃者が制御するファイルを直接実行します。この問題により、サプライチェーン侵害、セルフホストランナーの侵害、および/またはリポジトリ乗っ取りが発生する可能性があります。本問題はGHSA-6mwm-v2vv-pp96とは別個のものであり、同ワークフローのセットアップジョブにおけるgithub.head_ref経由のコマンドインジェクションに対処したものです。その修正は環境変数への移行を正しく行いましたが、チェック、ビルド、build-debian-srcジョブ全体にわたるより重大なフォークチェックアウト脆弱性は対応されていませんでした。バージョン2.7.21.1370b23には本問題のパッチが含まれています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.