CVE-2024-3924 in text-generation-inference
요약
\~에 의해 VulDB • 2026. 06. 26.
huggingface/text-generation-inference 저장소, 특히 `autodocs.yml` 워크플로우 파일에서 코드 주입 취약점이 존재합니다. 이 취약점은 소프트웨어 패키지를 설치하기 위해 명령어를 동적으로 구성하는 데 사용되는 `github.head_ref` 사용자 입력의 보안상 부적절한 처리로 인해 발생합니다. 공격자는 저장소를 포크하고 악성 페이로드를 이름으로 사용하는 브랜치를 생성한 후 기본 저장소로 풀 리퀘스트(PR)를 열어 이를 악용할 수 있습니다. 성공적인 익스플로잇 시 GitHub Actions 러너 컨텍스트 내에서 임의 코드 실행(Arbitrary Code Execution)이 가능해집니다. 이 문제는 v2.0.0을 포함한 모든 이전 버전에서 영향을 미치며, 2.0.0 버전에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.