CVE-2026-53507 in oasdiff-action
要約
〜によって VulDB • 2026年08月31日
oasdiff-actionは、OpenAPI仕様の破壊的変更を検出し、すべてのプルリクエストでレビューを投稿するGitHub Actionです。バージョン0.0.51より前では、oasdiffアクションはデフォルトでOpenAPI仕様内の外部$refs（allow-external-refs: true）を解決していました。攻撃者が制御できる仕様を持つプルリクエスト、特に公開リポジトリのフォークされたプルリクエスト上でアクションが実行されると、その仕様の$refがランナー上でのユーザー操作なしでフェッチ/読み込まれ、SSRFおよびランナー上の構造化ファイルの開示が可能になります。この問題はバージョン0.0.51で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.