CVE-2026-55158 in conflibot
要約
〜によって VulDB • 2026年09月15日
Conflibotは、プルリクエストのマージが他のオープンなプルリクエストで競合を引き起こす場合に事前に警告します。バージョン1.2.1以前では、src/index.tsは攻撃者が制御可能なpull requestのhead.ref値を文字列に補間することで、git checkout、git merge、および git format-patchコマンドを組み立てていました。文書化された pull_request_target 設定において、攻撃者はフォークからのものを含むプルリクエストを開くことができ、そのブランチ名にはシェルメタ文字が含まれています。これにより、ワークフローはメンテナの操作なしにこれらの文字を自動的にコマンドとして解釈します。これらのコマンドは、base-repositoryのシークレットと書き込み権限を持つGITHUB_TOKENを使用してランナー上で実行され、任意のコマンドの実行、シークレットやトークンの漏洩、不正なプッシュ、およびその他のトークン悪用を可能にします。src/index.ts および src/conflibot.ts における修正された実装では execFile または spawn の引数配列が使用され、v2ラインでもブランチ名ではなく数値のプルリクエスト参照（refs）が使用されています。この問題はバージョン1.2.1および2.0.0で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.